Fituesit e Çmimeve vjetore Pwnie 2021 janë shpallur. Ky është një aktivitet i shquar ku pjesëmarrësit zbulojnë dobësitë më të rëndësishme dhe të metat absurde në fushën e sigurisë kompjuterike.
Çmimet Pwnie njohin si përsosmërinë ashtu edhe paaftësinë në fushën e sigurisë së informacionit. Fituesit zgjidhen nga një komitet profesionistësh të industrisë së sigurisë nga nominimet e mbledhura nga komuniteti i sigurisë së informacionit.
Lista e fituesve
Dobësia më e Mirë e Përshkallëzimit të Privilegjit : Ky çmim iu dha Qualys për identifikimin e dobësisë CVE-2021-3156 në programin `sudo` , i cili u lejon përdoruesve të fitojnë privilegje root. Dobësia kishte qenë e pranishme në kod për rreth 10 vjet dhe është e dukshme sepse zbulimi i saj kërkonte një analizë të plotë të logjikës së programit.
Dobësia më e Mirë e Serverit: Ky çmim u dha për identifikimin dhe shfrytëzimin e dobësisë më të ndërlikuar teknikisht dhe interesante në një shërbim rrjeti. Fitorja u dha për identifikimin e një vektori të ri sulmi kundër Microsoft Exchange . Informacioni mbi të gjitha dobësitë e këtij lloji nuk është publikuar, por tashmë është zbuluar informacioni rreth CVE-2021-26855 (ProxyLogon), i cili ju lejon të merrni të dhëna nga një përdorues arbitrar pa autentifikim, dhe CVE-2021-27065, i cili ju lejon të ekzekutoni kodin tuaj në një server me privilegje administratori.
Sulmi më i Mirë Kriptografik: U vlerësua për identifikimin e të metave më të rëndësishme në sistemet, protokollet dhe algoritmet e enkriptimit në botën reale. Çmimi iu dha Microsoft-it për dobësinë (CVE-2020-0601) në zbatimin e nënshkrimeve dixhitale të kurbës eliptike që lejon gjenerimin e çelësave privatë bazuar në çelësat publikë. Ky defekt mundësoi krijimin e certifikatave TLS të falsifikuara për HTTPS dhe nënshkrimeve dixhitale të rreme, të cilat Windows i verifikoi si të besueshme.
Hulumtimi më inovativ: Çmimi iu dha studiuesve që propozuan metodën BlindSide për anashkalimin e Sigurisë së Randomizimit të Adresave (ASLR) duke përdorur rrjedhje të kanaleve anësore që vijnë nga ekzekutimi spekulativ i udhëzimeve të procesorit.
Çmimi Epic FAIL iu dha Microsoft-it për një patch me shumë versione që dështoi të rregullonte dobësinë PrintNightmare (CVE-2021-34527) në sistemin e daljes së printimit të Windows, i cili lejoi ekzekutimin e kodit. Microsoft fillimisht e raportoi problemin si lokal, por më vonë doli se sulmi mund të kryhej nga distanca. Microsoft më pas lëshoi përditësime katër herë, por çdo herë rregullimi adresonte vetëm një rast specifik dhe studiuesit zbuluan një mënyrë të re për të kryer sulmin.
Gabimi më i mirë në softuerin e klientit : Ky çmim iu dha një studiuesi i cili zbuloi dobësinë CVE-2020-28341 në kriptografinë e sigurt të Samsung dhe mori certifikimin e sigurisë CC EAL 5+. Dobësia bëri të mundur anashkalimin e plotë të mbrojtjes dhe fitimin e aksesit në kodin që funksionon në çip dhe të dhënat e ruajtura në enklavë, anashkalimin e bllokimit të ruajtësit të ekranit dhe gjithashtu bërjen e ndryshimeve në firmware për të krijuar një derë të fshehtë të pasme.
Dobësia më e nënvlerësuar : Çmimi iu dha Qualys për identifikimin e një numri dobësish të 21Nails në serverin e postës Exim, 10 prej të cilave mund të shfrytëzohen nga distanca. Zhvilluesit e Exim ishin skeptikë në lidhje me shfrytëzimin e problemeve dhe shpenzuan më shumë se gjashtë muaj duke zhvilluar rregullime.
Përgjigja më e dobët e prodhuesit: Ky është një nominim për përgjigjen më të papërshtatshme ndaj një raporti të cenueshmërisë në produktin e tyre . Fituesi ishte Cellebrite, një aplikacion forenzik dhe i nxjerrjes së të dhënave për zbatimin e ligjit. Cellebrite dështoi të përgjigjej në mënyrë adekuate ndaj raportit të cenueshmërisë të publikuar nga Moxie Marlinspike, autori i protokollit Signal. Moxie u interesua për Cellebrite pasi publikoi një raport mediatik në lidhje me krijimin e teknologjisë për të thyer mesazhet e koduara të Signal, i cili më vonë doli të ishte i rremë, për shkak të një keqinterpretimi të informacionit në artikullin në faqen e internetit të Cellebrite, i cili më pas u hoq ("sulmi" kërkonte qasje fizike në telefon dhe mundësinë për të zhbllokuar ekranin; domethënë, ai u përmbys në shikimin e mesazheve në Messenger, por jo manualisht, por duke përdorur një aplikacion të veçantë që simulon veprimet e përdoruesit).
Moxie ekzaminoi aplikacionet Cellebrite dhe gjeti dobësi kritike që lejuan ekzekutimin e kodit arbitrar kur përpiqeshit të skanoni të dhëna të krijuara posaçërisht. Aplikacioni Cellebrite gjithashtu zbuloi duke përdorur një bibliotekë të vjetëruar ffmpeg që nuk është azhurnuar për 9 vjet dhe përmban një numër të madh të dobësive të pakapshme. Në vend që të pranojë çështjet dhe t'i rregullojë ato, Cellebrite lëshoi një deklaratë se kujdeset për integritetin e të dhënave të përdoruesit, mban sigurinë e produkteve të saj në nivelin e duhur.
Së fundmi, arritja më e madhe: iu dha Ilfak Gilfanov, autorit të disassembler-it IDA dhe decompiler-it Hex-Rays , për kontributin e tij në zhvillimin e mjeteve për studiuesit e sigurisë dhe aftësinë e tij për ta mbajtur produktin të përditësuar për 30 vjet.
Burimi: https://pwnies.com