매년 열리는 Pwnie Awards 2021의 수상자가 발표되었습니다. 이 행사는 참가자들이 컴퓨터 보안 분야에서 가장 중대한 취약점과 황당한 결함을 공개하는 권위 있는 행사입니다.
Pwnie Awards는 정보 보안 분야의 뛰어난 사례와 부실한 사례를 모두 인정하는 상입니다. 수상자는 정보 보안 업계 전문가로 구성된 위원회가 정보 보안 커뮤니티에서 접수된 후보 중에서 선정합니다.
수상자 목록
최우수 권한 상승 취약점 발견상 : 이 상은 Qualys가 `sudo` 유틸리티에서 루트 권한을 획득할 수 있도록 허용하는 CVE-2021-3156 취약점을 발견한 공로로 수여되었습니다. 이 취약점은 약 10년 동안 코드에 존재했으며, 발견을 위해 유틸리티 로직에 대한 철저한 분석이 필요했다는 점에서 주목할 만합니다.
최고 서버 취약점상: 이 상은 네트워크 서비스에서 기술적으로 가장 복잡하고 흥미로운 취약점을 발견하고 악용한 공로로 수여되었습니다 . 수상자는 Microsoft Exchange에 대한 새로운 공격 벡터를 발견한 공로를 인정받았습니다 . 이러한 유형의 모든 취약점에 대한 정보가 공개된 것은 아니지만, 인증 없이 임의의 사용자로부터 데이터를 가져올 수 있는 CVE-2021-26855(ProxyLogon)와 관리자 권한으로 서버에서 코드를 실행할 수 있는 CVE-2021-27065에 대한 정보는 이미 공개되었습니다.
최우수 암호화 공격상: 실제 암호화 시스템, 프로토콜 및 알고리즘 에서 가장 중대한 결함을 발견한 공로로 수여됩니다 . 이 상은 마이크로소프트가 공개 키를 기반으로 개인 키를 생성할 수 있는 타원 곡선 디지털 서명(ECD) 구현의 취약점(CVE-2020-0601)을 발견한 공로로 수상했습니다. 이 결함으로 인해 위조된 HTTPS TLS 인증서와 가짜 디지털 서명을 생성할 수 있었고, 윈도우는 이를 신뢰할 수 있는 것으로 인증했습니다.
가장 혁신적인 연구: 이 상은 프로세서의 투기적 명령어 실행으로 발생하는 사이드 채널 누출을 이용하여 주소 무작위화 안전성(ASLR)을 우회하는 블라인드사이드(BlindSide) 방법을 제안한 연구진에게 수여되었습니다 .
마이크로소프트 는 윈도우 인쇄 출력 시스템의 PrintNightmare 취약점(CVE-2021-34527)을 해결하기 위한 여러 차례의 패치 배포에도 불구하고 코드 실행을 허용하지 않아 '대실패 (Epic FAIL) ' 상을 받았습니다. 마이크로소프트는 처음에는 이 문제를 로컬 취약점으로 분류했지만, 이후 원격 공격이 가능하다는 사실이 밝혀졌습니다. 마이크로소프트는 네 차례에 걸쳐 업데이트를 배포했지만, 매번 특정 취약점만 해결했고, 연구원들은 새로운 공격 방식을 발견했습니다.
클라이언트 소프트웨어 부문 최우수 버그상 : 이 상은 삼성의 보안 암호화에서 CVE-2020-28341 취약점을 발견하고 CC EAL 5+ 보안 인증을 획득한 연구원에게 수여되었습니다. 이 취약점을 이용하면 보안 시스템을 완전히 우회하여 칩에서 실행되는 코드와 인클레이브에 저장된 데이터에 접근할 수 있고, 화면 보호기 잠금을 해제할 수 있으며, 펌웨어를 변경하여 숨겨진 백도어를 만들 수도 있었습니다.
가장 과소평가된 취약점 : Qualys는 Exim 메일 서버에서 여러 21Nails 취약점을 발견한 공로로 이 상을 받았습니다 . 이 중 10개는 원격으로 악용될 수 있습니다. Exim 개발자들은 이러한 취약점을 악용할 수 있을지 회의적이었고, 6개월 이상을 투자하여 수정 작업을 진행했습니다.
가장 미흡한 제조업체 대응: 이는 자사 제품의 취약점 보고에 대한 가장 부적절한 대응을 보인 기업을 선정하는 것입니다 . 수상자는 법 집행 기관용 포렌식 및 데이터 마이닝 애플리케이션인 셀레브라이트(Cellebrite)였습니다. 셀레브라이트는 시그널(Signal) 프로토콜 개발자인 목시 말린스파이크(Moxie Marlinspike)가 발표한 취약점 보고에 대해 적절한 대응을 하지 못했습니다. 목시는 셀레브라이트 웹사이트에 게재된 기사의 정보를 잘못 해석하여 해당 기술 개발에 대한 언론 보도를 한 후 셀레브라이트에 관심을 갖게 되었습니다. (해당 "공격"은 휴대전화에 물리적으로 접근하여 화면 잠금을 해제하는 것만을 필요로 했습니다. 즉, 메신저에서 메시지를 보는 것과 유사하지만, 수동으로 보는 것이 아니라 사용자의 동작을 모방하는 특수 애플리케이션을 사용하는 것이었습니다.) 해당 기사는 이후 삭제되었습니다.
Moxie는 Cellebrite 응용 프로그램을 검사하고 특수하게 조작된 데이터를 스캔하려고 할 때 임의 코드가 실행되도록 허용하는 치명적인 취약점을 발견했습니다. 또한 Cellebrite 앱은 9년 동안 업데이트되지 않은 오래된 ffmpeg 라이브러리를 사용하고 있으며 패치되지 않은 많은 취약점을 포함하고 있는 것으로 나타났습니다. 셀레브라이트는 문제를 인정하고 수정하는 대신 사용자 데이터의 무결성을 중요하게 생각하고 제품의 보안을 적절한 수준으로 유지한다는 성명을 발표했습니다.
마지막으로 가장 큰 업적을 기리는 상은 IDA 디스어셈블러와 Hex-Rays 디컴파일러의 개발자인 일파크 길파노프에게 수여되었습니다. 그는 보안 연구원을 위한 도구 개발에 기여하고 30년 동안 제품을 지속적으로 업데이트해 온 공로를 인정받았습니다.