Au fost anunțați câștigătorii premiilor anuale Pwnie Awards 2020, care este un eveniment proeminent, în care participanții relevă cele mai semnificative vulnerabilități și defecte absurde în domeniul securității computerelor.
Premiile Pwnie recunosc atât excelența, cât și incompetența în domeniul securității informațiilor. Câștigătorii sunt selectați de un comitet de profesioniști din industria de securitate pe baza nominalizărilor colectate de la comunitatea de securitate a informațiilor.
Premiile sunt acordate anual la conferința de securitate Black Hat. Premiile Pwnie sunt considerate ca un omolog al Oscarurilor și Golden Raspberry Awards în domeniul securității computerelor.
Câștigători de top
Cea mai bună eroare de server
Premiat pentru identificarea și exploatarea celui mai complex bug tehnic și interesant într-un serviciu de rețea. Victoria a fost acordată prin identificarea vulnerabilității CVE-2020-10188, care permite atacuri la distanță către dispozitive încorporate cu firmware bazat pe Fedora 31 printr-un buffer overflow în telnetd.
Cel mai bun bug din software-ul clientului
Câștigătorii au fost cercetătorii care au identificat o vulnerabilitate în firmware-ul Android al Samsung, care permite accesul la dispozitiv prin trimiterea de MMS fără intrarea utilizatorului.
Vulnerabilitate mai bună a escaladării
Victoria a fost premiat pentru identificarea unei vulnerabilități în boot-ul Apple iPhone-urilor, iPad-urilor, Apple Watches și Apple TV Bazat pe cipurile A5, A6, A7, A8, A9, A10 și A11, permițându-vă să evitați jailbreak-ul firmware-ului și să organizați încărcarea altor sisteme de operare.
Cel mai bun atac cripto
Premiat pentru identificarea celor mai semnificative vulnerabilități în sisteme reale, protocoale și algoritmi de criptare. Premiul a fost acordat pentru identificarea vulnerabilității Zerologon (CVE-2020-1472) în protocolul MS-NRPC și algoritmul de criptare AES-CFB8, care permite unui atacator să obțină drepturi de administrator pe un controler de domeniu Windows sau Samba.
Cele mai inovatoare cercetări
Premiul este acordat cercetătorilor care au demonstrat că atacurile RowHammer pot fi utilizate împotriva cipurilor moderne de memorie DDR4 pentru a modifica conținutul biților individuali ai memoriei dinamice cu acces aleator (DRAM).
Cel mai slab răspuns al producătorului (Lamest Vendor Response)
Nominalizat pentru răspunsul cel mai inadecvat la un raport de vulnerabilitate din propriul dvs. produs. Câștigătorul este miticul Daniel J. Bernstein, care în urmă cu 15 ani nu a considerat-o gravă și nu a rezolvat vulnerabilitatea (CVE-2005-1513) în qmail, deoarece exploatarea sa necesită un sistem pe 64 de biți cu mai mult de 4 GB de virtual memorie.
Timp de 15 ani, sistemele pe 64 de biți de pe servere au înlocuit sistemele pe 32 de biți, cantitatea de memorie furnizată a crescut dramatic și, ca urmare, a fost creat un exploit funcțional care ar putea fi folosit pentru a ataca sistemele cu qmail în setările implicite.
Cea mai subestimată vulnerabilitate
Premiul a fost acordat pentru vulnerabilități (CVE-2019-0151, CVE-2019-0152) pe mecanismul Intel VTd / IOMMU, Acest lucru vă permite să ocoliți protecția memoriei și să rulați codul la nivelurile System Management Mode (SMM) și Trusted Execution Technology (TXT), de exemplu pentru a înlocui rootkit-urile din SMM. Severitatea problemei s-a dovedit a fi semnificativ mai mare decât se anticipase, iar vulnerabilitatea nu a fost la fel de ușor de remediat.
Cele mai multe erori Epic FAIL
Premiul a fost acordat Microsoft pentru vulnerabilitate (CVE-2020-0601) în implementarea semnăturilor digitale cu curbă eliptică care permite generarea de chei private bazate pe chei publice. Problema a permis crearea de certificate TLS falsificate pentru HTTPS și semnături digitale falsificate pe care Windows le-a verificat ca fiind de încredere.
Cea mai mare realizare
Premiul a fost acordat pentru identificarea unei serii de vulnerabilități (CVE-2019-5870, CVE-2019-5877, CVE-2019-10567) care permit ocolirea tuturor nivelurilor de protecție a browserului Chromé și executarea codului de pe sistemul din afara sandbox-ului mediu. Vulnerabilitățile au fost folosite pentru a demonstra un atac la distanță pe dispozitivele Android pentru a obține acces root.
În cele din urmă, dacă doriți să aflați mai multe despre candidați, puteți verifica detaliile În următorul link.