Објављени су победници годишњих награда Pwnie за 2021. годину. Реч је о истакнутом догађају где учесници откривају најзначајније рањивости и апсурдне мане у области рачунарске безбедности.
Награде Pwnie признају и изврсност и некомпетентност у области информационе безбедности. Победнике бира одбор стручњака из безбедносне индустрије на основу номинација прикупљених од заједнице информационе безбедности.
Листа победника
Најбоља рањивост ескалације привилегија : Ова награда је додељена компанији Qualys за идентификацију рањивости CVE-2021-3156 у услужном програму `sudo` , који омогућава корисницима да добију root привилегије. Рањивост је била присутна у коду око 10 година и значајна је јер је њено откривање захтевало темељну анализу логике услужног програма.
Најбоља рањивост сервера: Ова награда је додељена за идентификовање и искоришћавање технички најсложеније и најзанимљивије рањивости у мрежном сервису. Победа је додељена за идентификовање новог вектора напада против Microsoft Exchange-а . Информације о свим рањивостима овог типа нису објављене, али су већ откривене информације о CVE-2021-26855 (ProxyLogon), која вам омогућава да преузмете податке од произвољног корисника без аутентификације, и CVE-2021-27065, која вам омогућава да извршите свој код на серверу са администраторским привилегијама.
Најбољи криптографски напад: Награђен за идентификовање најзначајнијих недостатака у системима, протоколима и алгоритмима за шифровање у стварном свету. Награда је додељена компанији Мајкрософт због рањивости (CVE-2020-0601) у имплементацији дигиталних потписа елиптичних кривих која омогућава генерисање приватних кључева на основу јавних кључева. Ова мана је омогућила креирање фалсификованих TLS сертификата за HTTPS и лажних дигиталних потписа, које је Windows верификовао као поуздане.
Најиновативније истраживање: Награда је додељена истраживачима који су предложили BlindSide метод за заобилажење безбедности рандомизације адреса (ASLR) коришћењем цурења бочних канала које настаје услед спекулативног извршавања инструкција процесора.
Награда Epic FAIL додељена је компанији Microsoft за закрпу за више издања која није успела да поправи рањивост PrintNightmare (CVE-2021-34527) у систему за штампање Windows-а, што је омогућило извршавање кода. Microsoft је првобитно означио проблем као локални, али се касније испоставило да се напад могао извршити даљински. Microsoft је потом четири пута објављивао ажурирања, али сваки пут је поправка решавала само одређену инстанцу, а истраживачи су открили нови начин за извођење напада.
Најбоља грешка у клијентском софтверу : Ова награда је додељена истраживачу који је открио рањивост CVE-2020-28341 у Самсунговој безбедној криптографији и добио безбедносни сертификат CC EAL 5+. Рањивост је омогућила потпуно заобилажење заштите и добијање приступа коду који се извршава на чипу и подацима сачуваним у енклави, заобилажење закључавања чувара екрана, а такође и измене фирмвера како би се створио скривени задњи улаз.
Најпотцењенија рањивост : Награда је додељена компанији Qualys за идентификацију бројних рањивости 21Nails у Exim мејл серверу, од којих се 10 може искористити даљински. Exim програмери су били скептични у погледу искоришћавања проблема и провели су више од шест месеци развијајући решења.
Најслабији одговор произвођача: Ово је номинација за најнеадекватнији одговор на извештај о рањивости у сопственом производу . Победник је био Cellebrite, апликација за форензику и анализу података за спровођење закона. Cellebrite није адекватно одговорио на извештај о рањивости који је објавио Мокси Марлинспајк, аутор Signal протокола. Мокси се заинтересовао за Cellebrite након објављивања медијског извештаја о стварању технологије за разбијање шифрованих Signal порука, који се касније испоставио као лажан, због погрешног тумачења информација у чланку на Cellebrite-овој веб страници, који је потом уклоњен („напад“ је захтевао физички приступ телефону и могућност откључавања екрана; то јест, све се сводило на прегледање порука у месинџеру, али не ручно, већ коришћењем посебне апликације која симулира корисничке радње).
Мокие је прегледао апликације Целлебрите и открио критичне рањивости које су дозвољавале извршавање произвољног кода при покушају скенирања посебно израђених података. Апликација Целлебрите открила је и коришћење застареле библиотеке ффмпег која није ажурирана 9 година и садржи велики број неисправљених рањивости. Умјесто да призна проблеме и ријеши их, Целлебрите је објавио изјаву да брине о интегритету корисничких података, чува сигурност својих производа на одговарајућем нивоу.
Коначно, највеће достигнуће: додељено је Илфаку Гилфанову, аутору IDA дизасемблера и Hex-Rays декомпилера , за његов допринос развоју алата за истраживаче безбедности и његову способност да производ одржава ажурираним 30 година.
Извор: https://pwnies.com