Vinnarna av den årliga Pwnie Awards 2021 har tillkännagivits. Detta är ett framstående evenemang där deltagarna avslöjar de mest betydande sårbarheterna och absurda bristerna inom datasäkerhet.
Pwnie Awards uppmärksammar både excellens och inkompetens inom informationssäkerhet. Vinnarna utses av en kommitté bestående av experter inom säkerhetsbranschen bland nomineringar som samlats in från informationssäkerhetsbranschen.
Vinnarlista
Bästa sårbarhet för eskalering av behörighet : Denna utmärkelse tilldelades Qualys för att ha identifierat sårbarheten CVE-2021-3156 i verktyget `sudo` , vilket gör det möjligt för användare att få root-behörigheter. Sårbarheten hade funnits i koden i cirka 10 år och är anmärkningsvärd eftersom dess upptäckt krävde en grundlig analys av verktygets logik.
Bästa serversårbarhet: Denna utmärkelse tilldelades för att identifiera och utnyttja den mest tekniskt komplexa och intressanta sårbarheten i en nätverkstjänst. Vinsten tilldelades för att ha identifierat en ny attackvektor mot Microsoft Exchange . Information om alla sårbarheter av denna typ har inte publicerats, men information har redan avslöjats om CVE-2021-26855 (ProxyLogon), som låter dig hämta data från en godtycklig användare utan autentisering, och CVE-2021-27065, som låter dig köra din kod på en server med administratörsbehörighet.
Bästa kryptografiska attack: Tilldelas för att identifiera de viktigaste bristerna i verkliga krypteringssystem, protokoll och algoritmer. Priset tilldelades Microsoft för sårbarheten (CVE-2020-0601) i implementeringen av digitala signaturer med elliptisk kurva som möjliggör generering av privata nycklar baserade på publika nycklar. Denna brist möjliggjorde skapandet av förfalskade TLS-certifikat för HTTPS och falska digitala signaturer, vilka Windows verifierade som tillförlitliga.
Mest innovativ forskning: Priset tilldelades de forskare som föreslog BlindSide-metoden för att kringgå Address Randomization Safety (ASLR) med hjälp av sidokanalläckor till följd av processorns spekulativa instruktionsexekvering.
Microsoft fick utmärkelsen Epic FAIL för en patch med flera utgåvor som misslyckades med att åtgärda PrintNightmare-sårbarheten (CVE-2021-34527) i Windows utskriftssystem, vilket möjliggjorde kodkörning. Microsoft flaggade initialt problemet som lokalt, men det visade sig senare att attacken kunde utföras på distans. Microsoft släppte sedan uppdateringar fyra gånger, men varje gång åtgärdade korrigeringen bara en specifik instans, och forskare upptäckte ett nytt sätt att utföra attacken.
Bästa bugg i klientprogramvara : Denna utmärkelse tilldelades en forskare som upptäckte sårbarheten CVE-2020-28341 i Samsungs säkra kryptografi och fick säkerhetscertifieringen CC EAL 5+. Sårbarheten gjorde det möjligt att helt kringgå skyddet och få åtkomst till koden som körs på chipet och data som lagras i enklaven, kringgå skärmsläckarlåset och även göra ändringar i firmware för att skapa en dold bakdörr.
Den mest underskattade sårbarheten : Priset tilldelades Qualys för att ha identifierat ett antal 21Nails-sårbarheter i Exim-e-postservern, varav 10 kan utnyttjas på distans. Exim-utvecklare var skeptiska till att utnyttja problemen och spenderade mer än sex månader på att utveckla korrigeringar.
Tillverkarens svagaste svar: Detta är en nominering för det mest otillräckliga svaret på en sårbarhetsrapport i deras egen produkt . Vinnaren var Cellebrite, en forensisk och datautvinningsapplikation för brottsbekämpning. Cellebrite misslyckades med att svara adekvat på sårbarhetsrapporten som publicerades av Moxie Marlinspike, författaren till Signal-protokollet. Moxie blev intresserad av Cellebrite efter att ha publicerat en medierapport om skapandet av teknik för att bryta krypterade Signal-meddelanden, vilken senare visade sig vara falsk, på grund av en feltolkning av informationen i artikeln på Cellebrites webbplats, vilken därefter togs bort ("attacken" krävde fysisk åtkomst till telefonen och möjligheten att låsa upp skärmen; det vill säga, det kokade ner till att visa meddelanden i messenger, men inte manuellt, utan snarare med hjälp av en speciell applikation som simulerar användaråtgärder).
Moxie undersökte Cellebrite -applikationer och fann kritiska sårbarheter som gjorde det möjligt att exekvera godtycklig kod när han försökte skanna specialutformade data. Cellebrite -appen avslöjade också att använda ett föråldrat ffmpeg -bibliotek som inte har uppdaterats på 9 år och innehåller ett stort antal ouppdaterade sårbarheter. I stället för att erkänna problemen och åtgärda dem, utfärdade Cellebrite ett uttalande om att det bryr sig om användardatas integritet, håller säkerheten för sina produkter på rätt nivå.
Slutligen, den största prestationen: den tilldelades Ilfak Gilfanov, författare till IDA-disassembler och Hex-Rays-decompiler , för hans bidrag till utvecklingen av verktyg för säkerhetsforskare och hans förmåga att hålla produkten uppdaterad i 30 år.
Källa: https://pwnies.com