Câștigătorii premiilor anuale Pwnie Awards 2021 au fost anunțați. Acesta este un eveniment important în cadrul căruia participanții dezvăluie cele mai semnificative vulnerabilități și defecte absurde din domeniul securității informatice.
Premiile Pwnie recunosc atât excelența, cât și incompetența în domeniul securității informațiilor. Câștigătorii sunt selectați de un comitet de profesioniști din industria securității, dintre nominalizările colectate din comunitatea securității informațiilor.
Lista câștigătorilor
Cea mai bună vulnerabilitate de escaladare a privilegiilor : Acest premiu a fost acordat Qualys pentru identificarea vulnerabilității CVE-2021-3156 în utilitarul `sudo` , care permite utilizatorilor să obțină privilegii de root. Vulnerabilitatea era prezentă în cod de aproximativ 10 ani și este remarcabilă deoarece detectarea sa a necesitat o analiză amănunțită a logicii utilitarului.
Cea mai bună vulnerabilitate de server: Acest premiu a fost acordat pentru identificarea și exploatarea celei mai complexe și interesante vulnerabilități din punct de vedere tehnic dintr-un serviciu de rețea. Victoria a fost acordată pentru identificarea unui nou vector de atac împotriva Microsoft Exchange . Informații despre toate vulnerabilitățile de acest tip nu au fost publicate, dar au fost deja dezvăluite informații despre CVE-2021-26855 (ProxyLogon), care permite recuperarea datelor de la un utilizator arbitrar fără autentificare, și CVE-2021-27065, care permite executarea codului pe un server cu privilegii de administrator.
Cel mai bun atac criptografic: Premiat pentru identificarea celor mai semnificative defecte din sistemele, protocoalele și algoritmii de criptare din lumea reală. Premiul a fost acordat companiei Microsoft pentru vulnerabilitatea (CVE-2020-0601) din implementarea semnăturilor digitale cu curbă eliptică, care permite generarea de chei private pe baza cheilor publice. Această vulnerabilitate a permis crearea de certificate TLS falsificate pentru HTTPS și semnături digitale false, pe care Windows le-a verificat ca fiind de încredere.
Cea mai inovatoare cercetare: Premiul a fost acordat cercetătorilor care au propus metoda BlindSide pentru ocolirea siguranței randomizării adreselor (ASLR) folosind scurgeri de informații pe canalele laterale rezultate din execuția speculativă a instrucțiunilor procesorului.
Premiul Epic FAIL a fost acordat companiei Microsoft pentru un patch lansat în mai multe versiuni, care nu a reușit să remedieze vulnerabilitatea PrintNightmare (CVE-2021-34527) în sistemul de imprimare Windows, care permitea executarea de cod. Microsoft a semnalat inițial problema ca fiind locală, dar ulterior a ieșit la iveală că atacul putea fi efectuat de la distanță. Microsoft a lansat apoi actualizări de patru ori, dar de fiecare dată remedierea a abordat doar o instanță specifică, iar cercetătorii au descoperit o nouă modalitate de a efectua atacul.
Cea mai bună eroare în software-ul client : Acest premiu a fost acordat unui cercetător care a descoperit vulnerabilitatea CVE-2020-28341 în criptografia securizată a Samsung și a primit certificarea de securitate CC EAL 5+. Vulnerabilitatea a făcut posibilă ocolirea completă a protecției și obținerea accesului la codul care rulează pe cip și la datele stocate în enclavă, ocolirea blocării economizorului de ecran și, de asemenea, efectuarea de modificări la firmware pentru a crea un backdoor ascuns.
Cea mai subestimată vulnerabilitate : Premiul a fost acordat companiei Qualys pentru identificarea unui număr de vulnerabilități 21Nails în serverul de mail Exim, dintre care 10 pot fi exploatate de la distanță. Dezvoltatorii Exim au fost sceptici în ceea ce privește exploatarea problemelor și au petrecut mai mult de șase luni dezvoltând remedieri.
Cel mai slab răspuns al producătorului: Aceasta este o nominalizare pentru cel mai inadecvat răspuns la un raport de vulnerabilitate din propriul produs . Câștigătorul a fost Cellebrite, o aplicație criminalistică și de data mining pentru forțele de ordine. Cellebrite nu a răspuns în mod adecvat raportului de vulnerabilitate publicat de Moxie Marlinspike, autorul protocolului Signal. Moxie a devenit interesată de Cellebrite după ce a publicat un reportaj media despre crearea unei tehnologii pentru spargerea mesajelor criptate Signal, care ulterior s-a dovedit a fi falsă, din cauza unei interpretări greșite a informațiilor din articolul de pe site-ul Cellebrite, care a fost ulterior eliminat („atacul” necesita acces fizic la telefon și posibilitatea de a debloca ecranul; adică, se reducea la vizualizarea mesajelor în mesagerie, dar nu manual, ci folosind o aplicație specială care simulează acțiunile utilizatorului).
Moxie a examinat aplicațiile Cellebrite și a găsit vulnerabilități critice care au permis executarea unui cod arbitrar atunci când încerca să scaneze date special concepute. Aplicația Cellebrite a dezvăluit, de asemenea, utilizarea unei biblioteci ffmpeg învechite, care nu a fost actualizată de 9 ani și conține un număr mare de vulnerabilități nepatchate. În loc să recunoască problemele și să le remedieze, Cellebrite a emis o declarație conform căreia îi pasă de integritatea datelor utilizatorilor, păstrează securitatea produselor sale la nivelul corespunzător.
În cele din urmă, cea mai mare realizare: a fost acordată lui Ilfak Gilfanov, autorul dezasamblatorului IDA și al decompilatorului Hex-Rays , pentru contribuția sa la dezvoltarea de instrumente pentru cercetătorii în domeniul securității și pentru capacitatea sa de a menține produsul actualizat timp de 30 de ani.
Sursă: https://pwnies.com