Объявлены победители ежегодной премии Pwnie Awards 2021. Это престижное мероприятие, на котором участники выявляют наиболее значимые уязвимости и абсурдные недостатки в области компьютерной безопасности.
Премия Pwnie Awards отмечает как выдающиеся достижения, так и некомпетентность в области информационной безопасности. Победители выбираются комитетом, состоящим из профессионалов индустрии безопасности, из числа номинантов, собранных от сообщества специалистов по информационной безопасности.
Список победителей
Лучшая уязвимость для повышения привилегий : Эта награда была присуждена компании Qualys за обнаружение уязвимости CVE-2021-3156 в утилите `sudo` , которая позволяет пользователям получить права root. Уязвимость присутствовала в коде около 10 лет и примечательна тем, что для ее обнаружения потребовался тщательный анализ логики утилиты.
Лучшая уязвимость сервера: Эта награда была присуждена за выявление и использование наиболее технически сложной и интересной уязвимости в сетевом сервисе. Победа была присуждена за обнаружение нового вектора атаки на Microsoft Exchange . Информация обо всех уязвимостях этого типа не опубликована, но уже были раскрыты сведения о CVE-2021-26855 (ProxyLogon), которая позволяет получать данные от произвольного пользователя без аутентификации, и CVE-2021-27065, которая позволяет выполнять код на сервере с правами администратора.
Лучшая криптографическая атака: награда присуждена за выявление наиболее существенных недостатков в реальных системах, протоколах и алгоритмах шифрования. Награда была присуждена Microsoft за уязвимость (CVE-2020-0601) в реализации цифровых подписей на основе эллиптических кривых, которая позволяет генерировать закрытые ключи на основе открытых ключей. Эта уязвимость позволяла создавать поддельные TLS-сертификаты для HTTPS и фальшивые цифровые подписи, которые Windows проверяла как надежные.
Наиболее инновационное исследование: Награда была присуждена исследователям, предложившим метод BlindSide для обхода безопасности рандомизации адресов (ASLR) с использованием утечек по побочным каналам, возникающих в результате спекулятивного выполнения инструкций процессором.
Награда «Эпический провал» была присуждена Microsoft за многократный выпуск патча, который не смог исправить уязвимость PrintNightmare (CVE-2021-34527) в системе вывода печати Windows, позволявшую выполнять код. Первоначально Microsoft обозначила проблему как локальную, но позже выяснилось, что атаку можно осуществить удаленно. Затем Microsoft выпустила четыре обновления, но каждый раз исправление касалось только конкретного случая, и исследователи обнаружили новый способ осуществления атаки.
Лучшая ошибка в клиентском программном обеспечении : Эта награда была присуждена исследователю, обнаружившему уязвимость CVE-2020-28341 в защищенной криптографии Samsung и получившему сертификат безопасности CC EAL 5+. Уязвимость позволяла полностью обойти защиту и получить доступ к коду, работающему на чипе, и данным, хранящимся в анклаве, обойти блокировку заставки, а также внести изменения в прошивку для создания скрытого бэкдора.
Наиболее недооцененная уязвимость : Награда была присуждена компании Qualys за выявление ряда уязвимостей 21Nails в почтовом сервере Exim, 10 из которых могут быть использованы удаленно. Разработчики Exim скептически относились к возможности эксплуатации этих уязвимостей и потратили более шести месяцев на разработку исправлений.
Самая слабая реакция производителя: Это номинация на звание производителя, предложившего наиболее неадекватную реакцию на сообщение об уязвимости в собственном продукте . Победителем стала компания Cellebrite, разработчик криминалистического и интеллектуального приложения для правоохранительных органов. Cellebrite не смогла адекватно отреагировать на сообщение об уязвимости, опубликованное Мокси Марлинспайком, автором протокола Signal. Мокси заинтересовался Cellebrite после публикации в СМИ сообщения о создании технологии для взлома зашифрованных сообщений Signal, которое впоследствии оказалось ложным из-за неверного толкования информации в статье на сайте Cellebrite, которая впоследствии была удалена (для «атаки» требовался физический доступ к телефону и возможность разблокировки экрана; то есть, все сводилось к просмотру сообщений в мессенджере, но не вручную, а с помощью специального приложения, имитирующего действия пользователя).
Moxie исследовал приложения Cellebrite и обнаружил критические уязвимости, которые позволяли запускать произвольный код при попытке сканирования специально созданных данных. Приложение Cellebrite также показало, что оно использует устаревшую библиотеку ffmpeg, которая не обновлялась 9 лет и содержит большое количество незащищенных уязвимостей. Вместо того, чтобы признать проблемы и исправить их, Cellebrite заявила, что заботится о целостности пользовательских данных и поддерживает безопасность своих продуктов на должном уровне.
Наконец, величайшее достижение: награда была присуждена Илфаку Гилфанову, автору дизассемблера IDA и декомпилятора Hex-Rays , за его вклад в разработку инструментов для исследователей в области безопасности и за его способность поддерживать продукт в актуальном состоянии на протяжении 30 лет.
Источник: https://pwnies.com