Ogłoszono zwycięzców corocznych nagród Pwnie Awards 2021. To prestiżowe wydarzenie, podczas którego uczestnicy ujawniają najpoważniejsze luki i absurdalne błędy w dziedzinie bezpieczeństwa komputerowego.
Nagrody Pwnie doceniają zarówno doskonałość, jak i niekompetencję w dziedzinie bezpieczeństwa informacji. Zwycięzcy są wybierani przez komisję złożoną z ekspertów branży bezpieczeństwa na podstawie nominacji zebranych od społeczności zajmującej się bezpieczeństwem informacji.
Lista zwycięzców
Najlepsza luka w zabezpieczeniach związana z eskalacją uprawnień : Ta nagroda została przyznana firmie Qualys za zidentyfikowanie luki CVE-2021-3156 w narzędziu `sudo` , które umożliwia użytkownikom uzyskanie uprawnień roota. Luka ta była obecna w kodzie od około 10 lat i jest godna uwagi, ponieważ jej wykrycie wymagało dogłębnej analizy logiki narzędzia.
Najlepsza Luka w Zabezpieczeniach Serwera: Nagroda ta została przyznana za zidentyfikowanie i wykorzystanie najbardziej złożonej technicznie i interesującej luki w zabezpieczeniach usługi sieciowej. Zwycięstwo przyznano za zidentyfikowanie nowego wektora ataku na Microsoft Exchange . Informacje o wszystkich lukach tego typu nie zostały opublikowane, ale ujawniono już informacje o CVE-2021-26855 (ProxyLogon), która umożliwia pobieranie danych od dowolnego użytkownika bez uwierzytelniania, oraz CVE-2021-27065, która umożliwia wykonywanie kodu na serwerze z uprawnieniami administratora.
Najlepszy atak kryptograficzny: Nagroda przyznana za identyfikację najpoważniejszych luk w rzeczywistych systemach szyfrowania, protokołach i algorytmach. Nagrodę przyznano firmie Microsoft za lukę (CVE-2020-0601) w implementacji podpisów cyfrowych opartych na krzywych eliptycznych, która umożliwia generowanie kluczy prywatnych na podstawie kluczy publicznych. Ta luka umożliwiła tworzenie sfałszowanych certyfikatów TLS dla protokołu HTTPS oraz fałszywych podpisów cyfrowych, które system Windows zweryfikował jako wiarygodne.
Najbardziej innowacyjne badania: Nagrodę przyznano badaczom, którzy zaproponowali metodę BlindSide umożliwiającą obejście mechanizmu Address Randomization Safety (ASLR) przy użyciu wycieków kanałów bocznych powstających w wyniku spekulatywnego wykonywania instrukcji przez procesor.
Nagrodę Epic FAIL przyznano firmie Microsoft za wieloplatformową łatkę, która nie naprawiła luki w zabezpieczeniach PrintNightmare (CVE-2021-34527) w systemie wydruku systemu Windows, co umożliwiało wykonanie kodu. Początkowo Microsoft oznaczył problem jako lokalny, ale później okazało się, że atak można było przeprowadzić zdalnie. Następnie Microsoft wydał aktualizacje cztery razy, ale za każdym razem poprawka dotyczyła tylko konkretnego przypadku, a badacze odkryli nowy sposób przeprowadzenia ataku.
Najlepszy błąd w oprogramowaniu klienckim : Ta nagroda została przyznana badaczowi, który odkrył lukę CVE-2020-28341 w bezpiecznym szyfrowaniu Samsunga i uzyskał certyfikat bezpieczeństwa CC EAL 5+. Luka umożliwiła całkowite ominięcie zabezpieczenia i uzyskanie dostępu do kodu uruchomionego na chipie oraz danych przechowywanych w enklawie, ominięcie blokady wygaszacza ekranu, a także wprowadzenie zmian w oprogramowaniu układowym w celu utworzenia ukrytego backdoora.
Najbardziej niedoceniona luka : Nagrodę przyznano firmie Qualys za zidentyfikowanie szeregu luk w zabezpieczeniach 21Nails w serwerze pocztowym Exim, z których 10 można wykorzystać zdalnie. Twórcy oprogramowania Exim byli sceptyczni co do wykorzystania tych luk i spędzili ponad sześć miesięcy na opracowywaniu poprawek.
Najsłabsza odpowiedź producenta: Nominacja dotyczy najbardziej nieadekwatnej reakcji na zgłoszenie luki w zabezpieczeniach ich własnego produktu . Zwycięzcą został Cellebrite, aplikacja do analizy kryminalistycznej i eksploracji danych dla organów ścigania. Cellebrite nie zareagował odpowiednio na zgłoszenie luki w zabezpieczeniach opublikowane przez Moxie Marlinspike, autora protokołu Signal. Moxie zainteresował się Cellebrite po opublikowaniu doniesienia medialnego o opracowaniu technologii łamania zaszyfrowanych wiadomości Signal, które później okazało się fałszywe z powodu błędnej interpretacji informacji zawartych w artykule na stronie internetowej Cellebrite, który następnie został usunięty („atak” wymagał fizycznego dostępu do telefonu i możliwości odblokowania ekranu; czyli sprowadzał się do przeglądania wiadomości w komunikatorze, ale nie ręcznie, a za pomocą specjalnej aplikacji symulującej działania użytkownika).
Moxie zbadała aplikacje Cellebrite i znalazła krytyczne luki, które umożliwiały wykonanie dowolnego kodu podczas próby skanowania specjalnie spreparowanych danych. Aplikacja Cellebrite ujawniła również fakt, że korzysta z przestarzałej biblioteki ffmpeg, która nie była aktualizowana od 9 lat i zawiera dużą liczbę niezałatanych luk w zabezpieczeniach. Zamiast uznać problemy i je naprawić, Cellebrite wydał oświadczenie, że dba o integralność danych użytkowników, utrzymuje bezpieczeństwo swoich produktów na odpowiednim poziomie.
Wreszcie, największe osiągnięcie: zostało ono przyznane Ilfakowi Gilfanovowi, autorowi disasemblera IDA i dekompilatora Hex-Rays , za wkład w rozwój narzędzi dla badaczy bezpieczeństwa i jego zdolność do utrzymywania produktu w aktualności przez 30 lat.
Źródło: https://pwnies.com