Boli vyhlásení víťazi každoročných cien Pwnie Awards 2021. Ide o významné podujatie, ktorého účastníci odhaľujú najvýznamnejšie zraniteľnosti a absurdné nedostatky v oblasti počítačovej bezpečnosti.
Ceny Pwnie oceňujú excelentnosť aj nekompetentnosť v oblasti informačnej bezpečnosti. Víťazov vyberá komisia zložená z odborníkov z bezpečnostného priemyslu z nominácií zhromaždených od komunity informačnej bezpečnosti.
Zoznam víťazov
Najlepšia zraniteľnosť eskalácie privilégií : Toto ocenenie bolo udelené spoločnosti Qualys za identifikáciu zraniteľnosti CVE-2021-3156 v nástroji `sudo` , ktorý umožňuje používateľom získať root privilégiá. Zraniteľnosť bola v kóde prítomná približne 10 rokov a je pozoruhodná, pretože jej odhalenie si vyžadovalo dôkladnú analýzu logiky nástroja.
Najlepšia zraniteľnosť servera: Toto ocenenie bolo udelené za identifikáciu a zneužitie technicky najzložitejšej a najzaujímavejšej zraniteľnosti v sieťovej službe. Víťazstvo bolo udelené za identifikáciu nového vektora útoku proti Microsoft Exchange . Informácie o všetkých zraniteľnostiach tohto typu neboli zverejnené, ale už boli zverejnené informácie o CVE-2021-26855 (ProxyLogon), ktorá umožňuje získať údaje od ľubovoľného používateľa bez overenia, a CVE-2021-27065, ktorá umožňuje spustiť kód na serveri s oprávneniami správcu.
Najlepší kryptografický útok: Udelené za identifikáciu najvýznamnejších nedostatkov v reálnych šifrovacích systémoch, protokoloch a algoritmoch. Cena bola udelená spoločnosti Microsoft za zraniteľnosť (CVE-2020-0601) v implementácii digitálnych podpisov s eliptickou krivkou, ktorá umožňuje generovanie súkromných kľúčov na základe verejných kľúčov. Táto chyba umožnila vytváranie falošných certifikátov TLS pre HTTPS a falošných digitálnych podpisov, ktoré systém Windows overil ako dôveryhodné.
Najinovatívnejší výskum: Cena bola udelená výskumníkom, ktorí navrhli metódu BlindSide na obchádzanie ochrany pred randomizáciou adries (ASLR) pomocou únikov postranných kanálov, ktoré sú výsledkom špekulatívneho vykonávania inštrukcií procesora.
Ocenenie Epic FAIL bolo udelené spoločnosti Microsoft za viacnásobnú záplatu, ktorá nedokázala opraviť zraniteľnosť PrintNightmare (CVE-2021-34527) v systéme tlačového výstupu systému Windows, čo umožňovalo spustenie kódu. Spoločnosť Microsoft pôvodne označila problém za lokálny, no neskôr sa ukázalo, že útok mohol byť vykonaný na diaľku. Spoločnosť Microsoft následne vydala aktualizácie štyrikrát, ale zakaždým sa oprava zaoberala iba konkrétnym prípadom a výskumníci objavili nový spôsob, ako útok vykonať.
Najlepšia chyba v klientskom softvéri : Toto ocenenie bolo udelené výskumníkovi, ktorý objavil zraniteľnosť CVE-2020-28341 v zabezpečenej kryptografii spoločnosti Samsung a získal bezpečnostnú certifikáciu CC EAL 5+. Zraniteľnosť umožnila úplne obísť ochranu a získať prístup ku kódu bežiacemu na čipe a údajom uloženým v enkláve, obísť uzamknutie šetriča obrazovky a tiež vykonať zmeny vo firmvéri, aby sa vytvorili skryté zadné vrátka.
Najviac podceňovaná zraniteľnosť : Cena bola udelená spoločnosti Qualys za identifikáciu viacerých zraniteľností 21Nails v poštovom serveri Exim, z ktorých 10 je možné zneužiť na diaľku. Vývojári Eximu boli skeptickí voči zneužitiu týchto problémov a strávili viac ako šesť mesiacov vývojom opráv.
Najslabšia reakcia výrobcu: Ide o nomináciu za najnedostatočnú reakciu na správu o zraniteľnosti vo vlastnom produkte . Víťazom sa stala Cellebrite, forenzná a dátová dolovacia aplikácia pre orgány činné v trestnom konaní. Cellebrite nedokázal adekvátne reagovať na správu o zraniteľnosti publikovanú Moxiem Marlinspikom, autorom protokolu Signal. Moxie sa začala zaujímať o Cellebrite po zverejnení mediálnej správy o vytvorení technológie na prelomenie šifrovaných správ Signal, ktorá sa neskôr ukázala ako nepravdivá, a to z dôvodu nesprávnej interpretácie informácií v článku na webovej stránke Cellebrite, ktorý bol následne odstránený („útok“ vyžadoval fyzický prístup k telefónu a možnosť odomknúť obrazovku; to znamená, že sa obmedzil na prezeranie správ v messengeri, ale nie manuálne, ale pomocou špeciálnej aplikácie, ktorá simuluje akcie používateľa).
Moxie skúmala aplikácie Cellebrite a zistila kritické zraniteľnosti, ktoré umožňovali spustenie ľubovoľného kódu pri pokuse o skenovanie špeciálne vytvorených údajov. Aplikácia Cellebrite tiež odhalila skutočnosť, že používa zastaranú knižnicu ffmpeg, ktorá nebola 9 rokov aktualizovaná a obsahuje veľké množstvo neplatných zraniteľností. Spoločnosť Cellebrite namiesto toho, aby problémy uznávala a opravovala, vydala vyhlásenie, že sa stará o integritu údajov používateľov a zaisťuje bezpečnosť svojich produktov na správnej úrovni.
A nakoniec, najväčší úspech: ocenenie získal Ilfak Gilfanov, autor disasemblera IDA a dekompilátora Hex-Rays , za jeho prínos k vývoju nástrojov pre bezpečnostných výskumníkov a za jeho schopnosť udržiavať produkt aktualizovaný 30 rokov.
Zdroj: https://pwnies.com