Paskelbti kasmetinių „Pwnie Awards 2021“ apdovanojimų nugalėtojai. Tai svarbus renginys, kuriame dalyviai atskleidžia reikšmingiausius kompiuterių saugumo srities pažeidžiamumus ir absurdiškus trūkumus.
„Pwnie“ apdovanojimai skiriami tiek už puikius, tiek už nekompetenciją informacijos saugumo srityje. Nugalėtojus iš informacijos saugumo bendruomenės surinktų nominacijų atrenka saugumo pramonės specialistų komitetas.
Nugalėtojų sąrašas
Geriausias privilegijų eskalavimo pažeidžiamumas : šis apdovanojimas buvo skirtas „Qualys“ už CVE-2021-3156 pažeidžiamumo nustatymą „sudo“ įrankyje , leidžiančiame vartotojams gauti root teises. Šis pažeidžiamumas kode buvo apie 10 metų ir yra žinomas tuo, kad jam aptikti reikėjo nuodugnios įrankio logikos analizės.
Geriausias serverio pažeidžiamumas: šis apdovanojimas buvo skirtas už techniškai sudėtingiausio ir įdomiausio tinklo paslaugos pažeidžiamumo nustatymą ir išnaudojimą. Apdovanojimas buvo skirtas už naujo atakos vektoriaus prieš „Microsoft Exchange“ nustatymą . Informacija apie visus šio tipo pažeidžiamumus nebuvo paskelbta, tačiau jau buvo atskleista informacija apie CVE-2021-26855 („ProxyLogon“), kuris leidžia gauti duomenis iš bet kokio vartotojo be autentifikavimo, ir CVE-2021-27065, kuris leidžia vykdyti kodą serveryje su administratoriaus teisėmis.
Geriausia kriptografinė ataka: apdovanota už reikšmingiausių realaus pasaulio šifravimo sistemų, protokolų ir algoritmų trūkumų nustatymą. Apdovanojimas buvo skirtas „Microsoft“ už pažeidžiamumą (CVE-2020-0601) įgyvendinant elipsinės kreivės skaitmeninius parašus, kurie leidžia generuoti privačius raktus remiantis viešaisiais raktais. Šis trūkumas leido sukurti suklastotus TLS sertifikatus HTTPS ir netikrus skaitmeninius parašus, kuriuos „Windows“ patvirtino kaip patikimus.
Novatoriškiausias tyrimas: apdovanojimas buvo įteiktas tyrėjams, kurie pasiūlė „BlindSide“ metodą , skirtą apeiti adresų atsitiktinės atrankos saugumą (ASLR) naudojant šoninių kanalų nuotėkius, atsirandančius dėl procesoriaus spekuliatyvaus instrukcijų vykdymo.
„Epic FAIL“ apdovanojimas buvo skirtas „Microsoft“ už kelių leidimų pataisą, kuri neištaisė „PrintNightmare“ pažeidžiamumo (CVE-2021-34527) „Windows“ spausdinimo išvesties sistemoje, kuri leido vykdyti kodą. Iš pradžių „Microsoft“ pažymėjo problemą kaip vietinę, tačiau vėliau paaiškėjo, kad ataką galima įvykdyti nuotoliniu būdu. Vėliau „Microsoft“ keturis kartus išleido atnaujinimus, tačiau kiekvieną kartą pataisa buvo skirta tik konkrečiam atvejui, o tyrėjai atrado naują būdą įvykdyti ataką.
Geriausia kliento programinės įrangos klaida : šis apdovanojimas buvo skirtas tyrėjui, kuris atrado „Samsung“ saugios kriptografijos pažeidžiamumą CVE-2020-28341 ir gavo CC EAL 5+ saugumo sertifikatą. Šis pažeidžiamumas leido visiškai apeiti apsaugą ir gauti prieigą prie luste veikiančio kodo bei enklave saugomų duomenų, apeiti ekrano užsklandos užraktą ir atlikti programinės įrangos pakeitimus, kad būtų sukurtos paslėptos galinės durys.
Labiausiai neįvertintas pažeidžiamumas : apdovanojimas buvo skirtas „Qualys“ už tai, kad „Exim“ pašto serveryje nustatė keletą „21Nails“ pažeidžiamumų, iš kurių 10 galima išnaudoti nuotoliniu būdu. „Exim“ kūrėjai skeptiškai vertino šias problemas ir daugiau nei šešis mėnesius kūrė pataisymus.
Silpniausias gamintojo atsakas: tai nominacija už nepakankamiausią atsaką į savo produkto pažeidžiamumo ataskaitą . Nugalėtoju tapo „Cellebrite“ – teismo ekspertizės ir duomenų gavybos programa teisėsaugai. „Cellebrite“ tinkamai nesureagavo į pažeidžiamumo ataskaitą, kurią paskelbė „Signal“ protokolo autorė Moxie Marlinspike. „Moxie“ susidomėjo „Cellebrite“ po to, kai žiniasklaidoje paskelbė pranešimą apie technologijos, skirtos užšifruotiems „Signal“ pranešimams nulaužti, sukūrimą, kuris vėliau pasirodė esąs melagingas dėl neteisingo „Cellebrite“ svetainėje esančio straipsnio informacijos interpretavimo, kuris vėliau buvo pašalintas („atakai“ reikėjo fizinės prieigos prie telefono ir galimybės atrakinti ekraną; tai yra, ji apsiribojo pranešimų peržiūra pranešimų programoje, bet ne rankiniu būdu, o naudojant specialią programą, kuri imituoja vartotojo veiksmus).
Moxie išnagrinėjo „Cellebrite“ programas ir rado kritinių pažeidžiamumų, leidžiančių vykdyti savavališką kodą bandant nuskaityti specialiai sukurtus duomenis. „Cellebrite“ programa taip pat atskleidė faktą, kad joje naudojama pasenusi „ffmpeg“ biblioteka, kuri nebuvo atnaujinta 9 metus ir kurioje yra daug nepataisytų pažeidžiamumų. Užuot pripažinęs problemas ir jas išsprendęs, „Cellebrite“ paskelbė pareiškimą, kad jai rūpi vartotojo duomenų vientisumas, jis užtikrina tinkamą savo produktų saugumą.
Galiausiai, didžiausias pasiekimas: jis buvo įteiktas Ilfakui Gilfanovui, IDA disassemblerio ir Hex-Rays dekompiliatoriaus autoriui , už indėlį kuriant įrankius saugumo tyrėjams ir už gebėjimą 30 metų atnaujinti produktą.
Šaltinis: https://pwnies.com