ประกาศรายชื่อผู้ได้รับรางวัล Pwnie Awards 2021 แล้ว

ได้มีการประกาศรายชื่อผู้ชนะรางวัล Pwnie Awards ประจำปี 2021 แล้วนี่คืองานสำคัญที่ผู้เข้าร่วมเปิดเผยช่องโหว่ที่สำคัญที่สุดและจุดอ่อนที่ร้ายแรงที่สุดในด้านความปลอดภัยทางคอมพิวเตอร์

รางวัล Pwnie Awards เป็นรางวัลที่มอบให้แก่ผู้ที่มีความเป็นเลิศและไร้ความสามารถในด้านความปลอดภัยของข้อมูลคณะกรรมการซึ่งประกอบด้วยผู้เชี่ยวชาญในอุตสาหกรรมความปลอดภัยจะคัดเลือกผู้ชนะจากรายชื่อผู้ได้รับการเสนอชื่อจากชุมชนความปลอดภัยของข้อมูล

รายชื่อผู้โชคดี

รางวัล ช่องโหว่การยกระดับสิทธิ์ที่ดีที่สุด : รางวัลนี้มอบให้แก่ Qualys สำหรับการค้นพบช่องโหว่ CVE-2021-3156 ในยูทิลิตี้ `sudo`ซึ่งอนุญาตให้ผู้ใช้ได้รับสิทธิ์ระดับรูท ช่องโหว่นี้มีอยู่ในโค้ดมาประมาณ 10 ปีแล้ว และมีความโดดเด่นเนื่องจากการค้นพบนั้นต้องอาศัยการวิเคราะห์ตรรกะของยูทิลิตี้อย่างละเอียดถี่ถ้วน

รางวัล ช่องโหว่เซิร์ฟเวอร์ยอดเยี่ยม: รางวัล นี้มอบให้แก่ผู้ที่ค้นพบและใช้ประโยชน์จากช่องโหว่ที่ซับซ้อนและน่าสนใจที่สุดในบริการเครือข่าย โดยได้รับรางวัลจากการค้นพบช่องทางการโจมตีใหม่ต่อ Microsoft Exchangeข้อมูลเกี่ยวกับช่องโหว่ประเภทนี้ทั้งหมดไม่ได้ถูกเผยแพร่ แต่มีการเปิดเผยข้อมูลเกี่ยวกับ CVE-2021-26855 (ProxyLogon) แล้ว ซึ่งอนุญาตให้ดึงข้อมูลจากผู้ใช้ใดๆ ก็ได้โดยไม่ต้องมีการตรวจสอบสิทธิ์ และ CVE-2021-27065 ซึ่งอนุญาตให้เรียกใช้โค้ดของคุณบนเซิร์ฟเวอร์ด้วยสิทธิ์ผู้ดูแลระบบ

รางวัล การโจมตีทางด้านการเข้ารหัสที่ดีที่สุด:มอบให้สำหรับการระบุจุดอ่อนที่สำคัญที่สุดในระบบการเข้ารหัส โปรโตคอล และอัลกอริธึมในโลกแห่งความเป็นจริง รางวัลนี้มอบให้แก่ Microsoft สำหรับช่องโหว่ (CVE-2020-0601)ในการใช้งานลายเซ็นดิจิทัลแบบวงรี ซึ่งอนุญาตให้สร้างคีย์ส่วนตัวโดยอิงจากคีย์สาธารณะ ช่องโหว่นี้ทำให้สามารถสร้างใบรับรอง TLS ปลอมสำหรับ HTTPS และลายเซ็นดิจิทัลปลอม ซึ่ง Windows ตรวจสอบว่าน่าเชื่อถือได้

รางวัลงานวิจัยที่สร้างสรรค์ที่สุด:รางวัลนี้มอบให้แก่นักวิจัยที่เสนอวิธีการ BlindSideเพื่อหลีกเลี่ยงระบบรักษาความปลอดภัยการสุ่มที่อยู่ (ASLR) โดยใช้ช่องโหว่ด้านข้างที่เกิดจากการประมวลผลคำสั่งแบบคาดการณ์ล่วงหน้าของโปรเซสเซอร์

รางวัล Epic FAIL ตกเป็นของ Microsoft สำหรับแพทช์ที่ออกมาหลายเวอร์ชันซึ่งไม่สามารถแก้ไขช่องโหว่ PrintNightmare (CVE-2021-34527) ในระบบการพิมพ์ของ Windows ซึ่งอนุญาตให้มีการเรียกใช้โค้ดได้ในตอนแรก Microsoft ระบุว่าปัญหาดังกล่าวเป็นปัญหาภายในเครื่อง แต่ต่อมาพบว่าการโจมตีสามารถกระทำได้จากระยะไกล Microsoft จึงออกอัปเดตถึงสี่ครั้ง แต่ในแต่ละครั้ง การแก้ไขก็แก้ปัญหาได้เพียงบางกรณีเท่านั้น และนักวิจัยก็ค้นพบวิธีการใหม่ในการโจมตี

รางวัลข้อบกพร่องที่ดีที่สุดในซอฟต์แวร์ไคลเอ็นต์ : รางวัลนี้มอบให้กับนักวิจัยที่ค้นพบช่องโหว่ CVE-2020-28341 ในระบบเข้ารหัสลับที่ปลอดภัยของ Samsung และได้รับการรับรองความปลอดภัย CC EAL 5+ ช่องโหว่นี้ทำให้สามารถหลีกเลี่ยงการป้องกันได้อย่างสมบูรณ์และเข้าถึงโค้ดที่ทำงานบนชิปและข้อมูลที่จัดเก็บไว้ในเอนเคลฟ หลีกเลี่ยงการล็อกหน้าจอเซฟเวอร์ และยังสามารถเปลี่ยนแปลงเฟิร์มแวร์เพื่อสร้างแบ็กดอร์ที่ซ่อนอยู่ได้อีกด้วย

ช่องโหว่ที่ถูกประเมินค่าต่ำที่สุด : รางวัลนี้มอบให้กับ Qualys สำหรับการค้นพบช่องโหว่ 21Nails จำนวนมากในเซิร์ฟเวอร์อีเมล Eximซึ่ง 10 ช่องโหว่นั้นสามารถถูกโจมตีจากระยะไกลได้ นักพัฒนาของ Exim ไม่แน่ใจเกี่ยวกับการใช้ประโยชน์จากช่องโหว่เหล่านี้ และใช้เวลากว่าหกเดือนในการพัฒนาวิธีแก้ไข

การตอบสนองที่อ่อนแอที่สุดจากผู้ผลิต:นี่คือการเสนอชื่อสำหรับการตอบสนองต่อรายงานช่องโหว่ในผลิตภัณฑ์ของตนเองที่ไม่เพียงพอที่สุดผู้ชนะคือ Cellebrite แอปพลิเคชันด้านนิติวิทยาศาสตร์และการขุดค้นข้อมูลสำหรับหน่วยงานบังคับใช้กฎหมาย Cellebrite ล้มเหลวในการตอบสนองอย่างเพียงพอต่อรายงานช่องโหว่ที่เผยแพร่โดย Moxie Marlinspike ผู้เขียนโปรโตคอล Signal Moxie สนใจ Cellebrite หลังจากเผยแพร่รายงานข่าวเกี่ยวกับการสร้างเทคโนโลยีเพื่อถอดรหัสข้อความ Signal ที่เข้ารหัส ซึ่งต่อมาพบว่าเป็นเท็จเนื่องจากการตีความข้อมูลในบทความบนเว็บไซต์ของ Cellebrite ผิดพลาด ซึ่งต่อมาถูกลบออกไปแล้ว ("การโจมตี" ต้องอาศัยการเข้าถึงทางกายภาพของโทรศัพท์และความสามารถในการปลดล็อกหน้าจอ กล่าวคือ สรุปได้ว่าเป็นการดูข้อความในแอปพลิเคชันส่งข้อความ แต่ไม่ใช่ด้วยตนเอง แต่ใช้แอปพลิเคชันพิเศษที่จำลองการกระทำของผู้ใช้)

Moxie ตรวจสอบแอปพลิเคชัน Cellebrite และพบช่องโหว่ที่สำคัญที่อนุญาตให้เรียกใช้โค้ดโดยอำเภอใจเมื่อพยายามสแกนข้อมูลที่สร้างขึ้นเป็นพิเศษ แอป Cellebrite ยังเปิดเผยข้อเท็จจริงด้วยว่าใช้ไลบรารี ffmpeg ที่ล้าสมัยซึ่งไม่ได้รับการอัปเดตมาเป็นเวลา 9 ปีแล้ว และมีช่องโหว่จำนวนมากที่ยังไม่ได้แพตช์ แทนที่จะรับทราบปัญหาและแก้ไข Cellebrite ได้ออกแถลงการณ์ว่าใส่ใจเกี่ยวกับความสมบูรณ์ของข้อมูลผู้ใช้ รักษาความปลอดภัยของผลิตภัณฑ์ในระดับที่เหมาะสม

สุดท้ายนี้รางวัลที่ยิ่งใหญ่ที่สุดคือ รางวัลที่มอบให้แก่ อิลฟัค กิลฟานอฟ ผู้เขียนโปรแกรมถอดรหัส IDA และโปรแกรมถอดรหัส Hex-Raysสำหรับผลงานของเขาในการพัฒนาเครื่องมือสำหรับนักวิจัยด้านความปลอดภัย และความสามารถในการปรับปรุงผลิตภัณฑ์ให้ทันสมัยอยู่เสมอมาตลอด 30 ปี

ที่มา: https://pwnies.com