Ogłoszono zwycięzców dorocznej edycji Pwnie Awards 2020, to niezwykłe wydarzenie, w którym uczestnicy ujawniają najważniejsze luki i absurdalne wady w dziedzinie bezpieczeństwa komputerowego.
Nagrody Pwnie uznają zarówno doskonałość, jak i niekompetencję w dziedzinie bezpieczeństwa informacji. Zwycięzców wybiera komitet złożony z profesjonalistów z branży bezpieczeństwa na podstawie nominacji zebranych od społeczności zajmującej się bezpieczeństwem informacji.
Nagrody są wręczane corocznie na konferencji Black Hat Security Conference. Nagrody Pwnie są traktowane jako odpowiednik Oscarów i Złotej Maliny w dziedzinie bezpieczeństwa komputerowego.
Najlepsi zwycięzcy
Najlepszy błąd serwera
Przyznawany za zidentyfikowanie i wykorzystanie najbardziej złożonego technicznie błędu i interesujący w usłudze sieciowej. Zwycięstwo zostało przyznane poprzez zidentyfikowanie luki CVE-2020-10188, która umożliwia zdalne ataki na urządzenia z wbudowanym oprogramowaniem układowym opartym na Fedorze 31 poprzez przepełnienie bufora w telnetd.
Najlepszy błąd w oprogramowaniu klienckim
Zwycięzcami zostali badacze, którzy zidentyfikowali lukę w oprogramowaniu Samsunga dla Androida, która umożliwia dostęp do urządzenia poprzez wysyłanie wiadomości MMS bez ingerencji użytkownika.
Lepsza luka w eskalacji
Zwycięstwo został nagrodzony za zidentyfikowanie luki w bootromie Apple iPhone'ów, iPadów, Apple Watch i Apple TV Oparty na układach A5, A6, A7, A8, A9, A10 i A11, co pozwala uniknąć jailbreak oprogramowania układowego i uporządkować obciążenie innych systemów operacyjnych.
Najlepszy atak kryptograficzny
Przyznawany za identyfikację najważniejszych luk w rzeczywistych systemach, protokołach i algorytmach szyfrowania. Nagrodę przyznano za zidentyfikowanie luki Zerologon (CVE-2020-1472) w protokole MS-NRPC oraz algorytmie kryptograficznym AES-CFB8, który umożliwia atakującemu uzyskanie uprawnień administratora na kontrolerze domeny Windows lub Samba.
Najbardziej innowacyjne badania
Nagroda jest przyznawana naukowcom, którzy wykazali, że ataki RowHammer mogą być wykorzystywane przeciwko nowoczesnym chipom pamięci DDR4 w celu zmiany zawartości poszczególnych bitów dynamicznej pamięci o dostępie swobodnym (DRAM).
Najsłabsza reakcja producenta (Lamest Vendor Response)
Nominowany do najbardziej nieodpowiedniej odpowiedzi na zgłoszenie luki we własnym produkcie. Zwycięzcą został mityczny Daniel J. Bernstein, który 15 lat temu nie traktował tego poważnie i nie rozwiązał luki (CVE-2005-1513) w qmailu, ponieważ jej eksploatacja wymagała 64-bitowego systemu z ponad 4 GB wirtualnego pamięć.
Przez 15 lat 64-bitowe systemy na serwerach wyparły systemy 32-bitowe, ilość dostarczanej pamięci dramatycznie wzrosła, w wyniku czego powstał funkcjonalny exploit, który można wykorzystać do atakowania systemów przy użyciu domyślnych ustawień qmail.
Najbardziej niedoceniana luka
Nagrodę przyznano za podatności (CVE-2019-0151, CVE-2019-0152) na mechanizmie Intel VTd / IOMMU, umożliwiając ominięcie ochrony pamięci i wykonanie kodu na poziomie System Management Mode (SMM) i Trusted Execution Technology (TXT), na przykład w celu zastąpienia rootkita w SMM. Skala problemu okazała się znacznie większa niż przewidywano, a usterka nie była tak łatwa do naprawienia.
Większość błędów Epic FAIL
Nagroda została przyznana firmie Microsoft za lukę (CVE-2020-0601) w implementacji podpisów cyfrowych z krzywą eliptyczną, która umożliwia generowanie kluczy prywatnych w oparciu o klucze publiczne. Problem umożliwił tworzenie sfałszowanych certyfikatów TLS dla HTTPS i sfałszowanych podpisów cyfrowych, które system Windows zweryfikował jako wiarygodne.
Największe osiągnięcie
Nagroda została przyznana za zidentyfikowanie szeregu luk w zabezpieczeniach (CVE-2019-5870, CVE-2019-5877, CVE-2019-10567), które umożliwiają obejście wszystkich poziomów ochrony przeglądarki Chromé i wykonanie kodu w systemie poza piaskownicą środowisko. Luki zostały wykorzystane do zademonstrowania zdalnego ataku na urządzenia z systemem Android w celu uzyskania uprawnień administratora.
Wreszcie, jeśli chcesz dowiedzieć się więcej o nominowanych, możesz sprawdzić szczegóły W poniższym linku.