Pemenang Anugerah Pwnie tahunan 2021 telah diumumkan. Ini merupakan acara penting di mana para peserta mendedahkan kelemahan yang paling ketara dan kelemahan yang tidak masuk akal dalam bidang keselamatan komputer.
Anugerah Pwnie mengiktiraf kecemerlangan dan ketidakcekapan dalam bidang keselamatan maklumat. Pemenang dipilih oleh jawatankuasa profesional industri keselamatan daripada pencalonan yang dikumpulkan daripada komuniti keselamatan maklumat.
Senarai pemenang
Kerentanan Eskalasi Keistimewaan Terbaik : Anugerah ini diberikan kepada Qualys kerana mengenal pasti kerentanan CVE-2021-3156 dalam utiliti `sudo` , yang membolehkan pengguna mendapatkan keistimewaan root. Kerentanan tersebut telah wujud dalam kod selama kira-kira 10 tahun dan terkenal kerana pengesanannya memerlukan analisis menyeluruh terhadap logik utiliti tersebut.
Kerentanan Pelayan Terbaik: Anugerah ini diberikan kerana mengenal pasti dan mengeksploitasi kerentanan yang paling kompleks dan menarik dari segi teknikal dalam perkhidmatan rangkaian. Kemenangan ini diberikan kerana mengenal pasti vektor serangan baharu terhadap Microsoft Exchange . Maklumat tentang semua kerentanan jenis ini belum diterbitkan, tetapi maklumat telah pun didedahkan tentang CVE-2021-26855 (ProxyLogon), yang membolehkan anda mendapatkan data daripada pengguna sewenang-wenangnya tanpa pengesahan, dan CVE-2021-27065, yang membolehkan anda melaksanakan kod anda pada pelayan dengan keistimewaan pentadbir.
Serangan Kriptografi Terbaik: Dianugerahkan kerana mengenal pasti kelemahan paling ketara dalam sistem, protokol dan algoritma penyulitan dunia sebenar. Anugerah ini diberikan kepada Microsoft atas kelemahan (CVE-2020-0601) dalam pelaksanaan tandatangan digital lengkung elips yang membolehkan penjanaan kunci persendirian berdasarkan kunci awam. Kelemahan ini membolehkan penciptaan sijil TLS palsu untuk HTTPS dan tandatangan digital palsu, yang disahkan oleh Windows sebagai boleh dipercayai.
Penyelidikan paling inovatif: Anugerah ini diberikan kepada penyelidik yang mencadangkan kaedah BlindSide untuk mengelakkan Keselamatan Rawak Alamat (ASLR) menggunakan kebocoran saluran sisi yang terhasil daripada pelaksanaan arahan spekulatif pemproses.
Anugerah Epic FAIL telah diberikan kepada Microsoft untuk tampalan berbilang keluaran yang gagal membetulkan kerentanan PrintNightmare (CVE-2021-34527) dalam sistem output cetakan Windows, yang membenarkan pelaksanaan kod. Microsoft pada mulanya menandakan isu tersebut sebagai setempat, tetapi kemudiannya mendapati bahawa serangan itu boleh dijalankan dari jauh. Microsoft kemudian mengeluarkan kemas kini sebanyak empat kali, tetapi setiap kali pembaikan hanya menangani contoh tertentu, dan penyelidik menemui cara baharu untuk melakukan serangan tersebut.
Pepijat terbaik dalam perisian klien : Anugerah ini diberikan kepada seorang penyelidik yang menemui kelemahan CVE-2020-28341 dalam kriptografi selamat Samsung dan menerima pensijilan keselamatan CC EAL 5+. Kelemahan ini membolehkan perlindungan dipintas sepenuhnya dan mendapat akses kepada kod yang berjalan pada cip dan data yang disimpan dalam enklaf, memintas kunci penyelamat skrin dan juga membuat perubahan pada firmware untuk mencipta pintu belakang tersembunyi.
Kerentanan yang paling dipandang remeh : Anugerah itu diberikan kepada Qualys kerana mengenal pasti beberapa kerentanan 21Nails dalam pelayan mel Exim, 10 daripadanya boleh dieksploitasi dari jauh. Pembangun Exim ragu-ragu untuk mengeksploitasi isu-isu tersebut dan menghabiskan lebih daripada enam bulan membangunkan pembetulan.
Respons pengeluar paling lemah: Ini merupakan pencalonan untuk respons yang paling tidak mencukupi terhadap laporan kerentanan dalam produk mereka sendiri . Pemenangnya ialah Cellebrite, aplikasi forensik dan perlombongan data untuk penguatkuasaan undang-undang. Cellebrite gagal memberi respons yang secukupnya terhadap laporan kerentanan yang diterbitkan oleh Moxie Marlinspike, pengarang protokol Signal. Moxie mula berminat dengan Cellebrite selepas menerbitkan laporan media tentang penciptaan teknologi untuk memecahkan mesej Signal yang disulitkan, yang kemudiannya ternyata palsu, disebabkan oleh salah tafsir maklumat dalam artikel di laman web Cellebrite, yang kemudiannya dialih keluar ("serangan" tersebut memerlukan akses fizikal ke telefon dan keupayaan untuk membuka kunci skrin; iaitu, ia bermuara kepada melihat mesej dalam messenger, tetapi bukan secara manual, sebaliknya menggunakan aplikasi khas yang mensimulasikan tindakan pengguna).
Moxie memeriksa aplikasi Cellebrite dan mendapati kelemahan kritikal yang membolehkan kod sewenang-wenang dijalankan ketika cuba mengimbas data yang dibuat khas. Aplikasi Cellebrite juga mengungkapkan fakta bahawa ia menggunakan perpustakaan ffmpeg yang sudah usang yang tidak dikemas kini selama 9 tahun dan mengandungi sebilangan besar kerentanan yang tidak dapat ditandingi. Daripada mengakui masalah dan memperbaikinya, Cellebrite mengeluarkan pernyataan bahawa ia mementingkan integriti data pengguna, menjaga keselamatan produknya pada tahap yang tepat.
Akhirnya, pencapaian terhebat: ia telah dianugerahkan kepada Ilfak Gilfanov, pengarang pembongkar IDA dan penyahkompiler Hex-Rays , atas sumbangannya kepada pembangunan alatan untuk penyelidik keselamatan dan keupayaannya untuk memastikan produk dikemas kini selama 30 tahun.
Sumber: https://pwnies.com