Ir paziņoti ikgadējās Pwnie balvas 2021 uzvarētāji. Šis ir ievērojams pasākums, kurā dalībnieki atklāj būtiskākās ievainojamības un absurdus trūkumus datoru drošības jomā.
Pwnie balvas tiek piešķirtas gan par izcilību, gan nekompetenci informācijas drošības jomā. Uzvarētājus izvēlas drošības nozares profesionāļu komiteja no nominācijām, kas apkopotas no informācijas drošības kopienas.
Uzvarētāju saraksts
Labākā privilēģiju eskalācijas ievainojamība : šī balva tika piešķirta Qualys par CVE-2021-3156 ievainojamības identificēšanu utilītā `sudo` , kas ļauj lietotājiem iegūt root privilēģijas. Ievainojamība kodā bija aptuveni 10 gadus un ir ievērojama, jo tās atklāšanai bija nepieciešama rūpīga utilītas loģikas analīze.
Labākā servera ievainojamība: šī balva tika piešķirta par tehniski sarežģītākās un interesantākās tīkla pakalpojuma ievainojamības identificēšanu un izmantošanu. Uzvara tika piešķirta par jauna uzbrukuma vektora identificēšanu pret Microsoft Exchange . Informācija par visām šāda veida ievainojamībām nav publicēta, taču jau ir atklāta informācija par CVE-2021-26855 (ProxyLogon), kas ļauj izgūt datus no patvaļīga lietotāja bez autentifikācijas, un CVE-2021-27065, kas ļauj izpildīt kodu serverī ar administratora privilēģijām.
Labākais kriptogrāfiskais uzbrukums: Balva piešķirta par būtiskāko trūkumu identificēšanu reālās pasaules šifrēšanas sistēmās, protokolos un algoritmos. Balva tika piešķirta Microsoft par ievainojamību (CVE-2020-0601) eliptiskās līknes digitālo parakstu ieviešanā, kas ļauj ģenerēt privātās atslēgas, pamatojoties uz publiskajām atslēgām. Šī nepilnība ļāva izveidot viltotus TLS sertifikātus HTTPS un viltotus digitālos parakstus, kurus Windows pārbaudīja kā uzticamus.
Inovatīvākais pētījums: Balva tika piešķirta pētniekiem, kuri ierosināja BlindSide metodi adrešu nejaušināšanas drošības (ASLR) apiešanai, izmantojot sānu kanālu noplūdes, kas rodas procesora spekulatīvās instrukciju izpildes rezultātā.
Balva “Epic FAIL” tika piešķirta Microsoft par vairākkārtēju ielāpu, kas neizdevās novērst PrintNightmare ievainojamību (CVE-2021-34527) Windows drukas izvades sistēmā, kas ļāva izpildīt kodu. Sākotnēji Microsoft atzīmēja problēmu kā lokālu, taču vēlāk izrādījās, ka uzbrukumu varēja veikt attālināti. Pēc tam Microsoft četras reizes izlaida atjauninājumus, taču katru reizi labojums attiecās tikai uz konkrētu gadījumu, un pētnieki atklāja jaunu veidu, kā veikt uzbrukumu.
Labākā kļūda klienta programmatūrā : šī balva tika piešķirta pētniekam, kurš atklāja Samsung drošajā kriptogrāfijā ievainojamību CVE-2020-28341 un saņēma CC EAL 5+ drošības sertifikātu. Ievainojamība ļāva pilnībā apiet aizsardzību un iegūt piekļuvi mikroshēmā darbojošajam kodam un enklāvā glabātajiem datiem, apiet ekrānsaudzētāja bloķēšanu un veikt izmaiņas programmaparatūrā, lai izveidotu slēptu aizmugurējo durvju sistēmu.
Visvairāk nenovērtētā ievainojamība : balva tika piešķirta uzņēmumam Qualys par vairāku 21Nails ievainojamību identificēšanu Exim pasta serverī, no kurām 10 var izmantot attālināti. Exim izstrādātāji bija skeptiski noskaņoti par problēmu izmantošanu un vairāk nekā sešus mēnešus veltīja labojumu izstrādei.
Vājākā ražotāja atbilde: šī ir nominācija par nepietiekamāko atbildi uz sava produkta ievainojamības ziņojumu . Uzvarēja Cellebrite — tiesībaizsardzības iestāžu kriminālistikas un datu ieguves lietojumprogramma. Cellebrite nespēja pienācīgi reaģēt uz Signal protokola autora Moxie Marlinspaike publicēto ievainojamības ziņojumu. Moxie sāka interesēties par Cellebrite pēc tam, kad publicēja plašsaziņas līdzekļu ziņojumu par tehnoloģijas izveidi šifrētu Signal ziņojumu uzlaušanai, kas vēlāk izrādījās nepatiess Cellebrite tīmekļa vietnes rakstā sniegtās informācijas nepareizas interpretācijas dēļ, kas vēlāk tika noņemts ("uzbrukumam" bija nepieciešama fiziska piekļuve tālrunim un iespēja atbloķēt ekrānu; tas ir, tas nozīmēja ziņojumu skatīšanu ziņojumapmaiņā, bet ne manuāli, bet gan izmantojot īpašu lietojumprogrammu, kas simulē lietotāja darbības).
Moksija pārbaudīja Cellebrite lietojumprogrammas un atklāja kritiskas ievainojamības, kas ļāva izpildīt patvaļīgu kodu, mēģinot skenēt īpaši izstrādātus datus. Cellebrite lietotne arī atklāja faktu, ka tā izmanto novecojušu ffmpeg bibliotēku, kas nav atjaunināta 9 gadus un satur lielu skaitu neaizlāgotu ievainojamību. Tā vietā, lai atzītu problēmas un tās novērstu, Cellebrite nāca klajā ar paziņojumu, ka rūpējas par lietotāju datu integritāti un uztur savu produktu drošību atbilstošā līmenī.
Visbeidzot, lielākais sasniegums: tas tika piešķirts Ilfakam Gilfanovam, IDA disassemblera un Hex-Rays dekompilatora autoram , par ieguldījumu drošības pētnieku rīku izstrādē un spēju uzturēt produktu atjauninātu 30 gadus.
Avots: https://pwnies.com