Yıllık Pwnie Ödülleri 2021'nin kazananları açıklandı, Katılımcıların bilgisayar güvenliği alanındaki en önemli güvenlik açıklarını ve saçma kusurları ortaya çıkardığı önemli bir olaydır.
Pwnie Ödülleri bilgi güvenliği alanında hem mükemmelliği hem de yetersizliği kabul ederler. Kazananlar, bilgi güvenliği topluluğundan toplanan adaylara göre güvenlik sektörü profesyonellerinden oluşan bir komite tarafından seçilir.
Kazananlar listesi
Daha iyi ayrıcalık yükseltme güvenlik açığı: Bu ödül Sudo yardımcı programında CVE-2021-3156 güvenlik açığını belirlediği için Qualys şirketine verildi, bu da kök ayrıcalıkları kazanmanızı sağlar. Güvenlik açığı yaklaşık 10 yıldır kodda mevcuttur ve tespit edilmesinin yardımcı programın mantığının kapsamlı bir analizini gerektirmesi nedeniyle dikkate değerdir.
En iyi sunucu hatası: o Teknik olarak en karmaşık hatayı tespit edip kullanmak için verilir ve bir ağ hizmetinde ilginç. Kimlik tespiti için zafer verildi Microsoft Exchange'e karşı yeni bir saldırı vektörü. Bu sınıftaki tüm güvenlik açıkları hakkında bilgi yayınlanmadı, ancak rastgele bir kullanıcıdan kimlik doğrulaması olmadan veri almanıza olanak tanıyan CVE-2021-26855 (ProxyLogon) güvenlik açığı hakkında bilgi zaten yayınlandı ve CVE-2021-27065, bu, kodunuzu yönetici haklarına sahip bir sunucuda çalıştırmanıza izin verir.
En iyi kripto saldırısı: verildi Sistemlerdeki en önemli arızaları belirlemek için, protokoller ve gerçek şifreleme algoritmaları. ödül fGüvenlik açığı nedeniyle Microsoft'a yayınlandı (CVE-2020-0601) ortak anahtarlara dayalı özel anahtarların oluşturulmasına izin veren eliptik eğri dijital imzaların uygulanmasında. Sorun, HTTPS için sahte TLS sertifikalarının ve Windows'un güvenilir olarak doğruladığı sahte dijital imzaların oluşturulmasına izin verdi.
En yenilikçi araştırma: Ödül BlindSide yöntemini öneren araştırmacılara verildi işlemci tarafından talimatların spekülatif olarak yürütülmesinden kaynaklanan yan kanal sızıntılarını kullanarak adres rastgeleleştirme (ASLR) güvenliğini önlemek için.
Çoğu Epic FAIL hatası: çalışmayan bir yamanın birden çok sürümü için Microsoft'a verildi Windows yazdırma çıktı sisteminde kodunuzun çalışmasına izin veren PrintNightmare güvenlik açığı (CVE-2021-34527) için. Microsoft başlangıçta sorunu yerel olarak işaretledi, ancak daha sonra saldırının uzaktan gerçekleştirilebileceği ortaya çıktı. Microsoft daha sonra dört kez güncelleme yayınladı, ancak her seferinde çözüm yalnızca bir özel durumu kapsıyordu ve araştırmacılar saldırıyı gerçekleştirmenin yeni bir yolunu buldular.
İstemci yazılımındaki en iyi hata: o ödül Samsung'un güvenli kriptografisindeki CVE-2020-28341 güvenlik açığını keşfeden bir araştırmacıya verildi, CC EAL 5+ güvenlik sertifikası aldı. Güvenlik açığı, korumayı tamamen atlamayı ve çip üzerinde çalışan koda ve yerleşim bölgesinde depolanan verilere erişim elde etmeyi, ekran koruyucu kilidini atlamayı ve ayrıca gizli bir arka kapı oluşturmak için bellenimde değişiklikler yapmayı mümkün kıldı.
En hafife alınan güvenlik açığı: ödül oldu Exim posta sunucusundaki bir dizi 21Nails güvenlik açığının tanımlanması için Qualys'e verildi, Bunlardan 10 tanesi uzaktan kullanılabilir. Exim geliştiricileri, sorunlardan yararlanma konusunda şüpheci davrandılar ve 6 aydan fazla bir süre çözüm geliştirmek için harcadılar.
Üreticiden en zayıf cevap: bu bir adaylık kendi ürününüzdeki bir güvenlik açığı raporuna en uygunsuz yanıt için. Kazanan, kolluk kuvvetleri için bir adli tıp ve veri madenciliği uygulaması olan Cellebrite oldu. Cellebrite, Signal protokolünün yazarı Moxie Marlinspike tarafından yayınlanan güvenlik açığı raporuna yeterince yanıt vermedi. Moxie, Cellebrite web sitesindeki makaledeki bilgilerin yanlış yorumlanması nedeniyle daha sonra yanlış olduğu ortaya çıkan şifreli Signal mesajlarını kırmak için bir teknoloji oluşturma hakkında bir medya hikayesi yayınladıktan sonra Cellebrite ile ilgilenmeye başladı. "saldırı", telefona fiziksel erişim ve ekranın kilidini açma yeteneği gerektiriyordu, yani, mesajlaşmada mesajları görüntülemeye indirgendi, ancak manuel olarak değil, kullanıcı eylemlerini simüle eden özel bir uygulama kullanarak ).
Moxie, Cellebrite uygulamalarını inceledi ve özel hazırlanmış verileri taramaya çalışırken rastgele kod yürütülmesine izin veren kritik güvenlik açıkları buldu. Cellebrite uygulaması, 9 yıldır güncellenmemiş ve çok sayıda yama uygulanmamış güvenlik açığı içeren eski bir ffmpeg kitaplığı kullandığını da ortaya çıkardı. Sorunları kabul edip düzeltmek yerine Cellebrite, kullanıcı verilerinin bütünlüğünü önemsediğini, ürünlerinin güvenliğini uygun seviyede tuttuğunu belirten bir bildiri yayınladı.
Nihayet En Büyük Başarı - IDA disassembler ve Hex-Rays decompiler'in yazarı İlfak Gilfanov'a verildi, güvenlik araştırmacıları için araçların geliştirilmesine katkılarından ve ürünü 30 yıl boyunca güncel tutma yeteneğinden dolayı.
kaynak: https://pwnies.com