Оголошено переможців щорічної премії Pwnie Awards 2021. Це визначний захід, учасники якого виявляють найсуттєвіші вразливості та абсурдні недоліки у сфері комп'ютерної безпеки.
Премія Pwnie Awards визнає як досконалість, так і некомпетентність у сфері інформаційної безпеки. Переможців обирає комітет, що складається з фахівців галузі безпеки, з номінацій, зібраних від спільноти інформаційної безпеки.
Список переможців
Найкраща вразливість ескалації привілеїв : цю нагороду було присуджено Qualys за виявлення вразливості CVE-2021-3156 в утиліті `sudo` , яка дозволяє користувачам отримувати root-права. Вразливість була присутня в коді близько 10 років і є примітною, оскільки її виявлення вимагало ретельного аналізу логіки утиліти.
Найкраща вразливість сервера: цю нагороду було присуджено за виявлення та використання технічно найскладнішої та найцікавішої вразливості в мережевому сервісі. Перемогу було присуджено за виявлення нового вектора атаки проти Microsoft Exchange . Інформація про всі вразливості цього типу не була опублікована, але вже була розкрита інформація про CVE-2021-26855 (ProxyLogon), яка дозволяє отримувати дані від довільного користувача без автентифікації, та CVE-2021-27065, яка дозволяє виконувати ваш код на сервері з правами адміністратора.
Найкраща криптографічна атака: Нагороджена за виявлення найсуттєвіших недоліків у реальних системах, протоколах та алгоритмах шифрування. Нагороду було присуджено Microsoft за вразливість (CVE-2020-0601) у реалізації цифрових підписів на основі еліптичної кривої, яка дозволяє генерувати закриті ключі на основі відкритих ключів. Ця вразливість дозволила створювати підроблені сертифікати TLS для HTTPS та фальшиві цифрові підписи, які Windows перевірила як надійні.
Найінноваційніше дослідження: нагороду було присуджено дослідникам, які запропонували метод BlindSide для обходу захисту від рандомізації адрес (ASLR) за допомогою витоків побічних каналів, що виникають внаслідок спекулятивного виконання інструкцій процесором.
Нагороду Epic FAIL було присуджено Microsoft за багаторазовий патч, який не зміг виправити вразливість PrintNightmare (CVE-2021-34527) у системі виводу друку Windows, що дозволяло виконання коду. Спочатку Microsoft позначив проблему як локальну, але пізніше з'ясувалося, що атака могла бути здійснена віддалено. Потім Microsoft випускала оновлення чотири рази, але щоразу виправлення стосувалося лише конкретного екземпляра, і дослідники відкривали новий спосіб виконання атаки.
Найкраща помилка в клієнтському програмному забезпеченні : цю нагороду було присуджено досліднику, який виявив уразливість CVE-2020-28341 у захищеній криптографії Samsung та отримав сертифікат безпеки CC EAL 5+. Уразливість дозволила повністю обійти захист та отримати доступ до коду, що працює на чіпі, та даних, що зберігаються в анклаві, обійти блокування заставки, а також внести зміни до прошивки для створення прихованого бекдору.
Найбільш недооцінена вразливість : нагороду було присуджено Qualys за виявлення низки вразливостей 21Nails на поштовому сервері Exim, 10 з яких можна використовувати віддалено. Розробники Exim скептично поставилися до використання цих проблем і витратили понад шість місяців на розробку виправлень.
Найслабша реакція виробника: Це номінація за найнеадекватнішу реакцію на звіт про вразливість у власному продукті . Переможцем став Cellebrite, додаток для судово-медичної експертизи та аналізу даних для правоохоронних органів. Cellebrite не зміг адекватно відреагувати на звіт про вразливість, опублікований Моксі Марлінспайком, автором протоколу Signal. Moxie зацікавився Cellebrite після публікації в ЗМІ повідомлення про створення технології для злому зашифрованих повідомлень Signal, яке згодом виявилося хибним через неправильне тлумачення інформації у статті на веб-сайті Cellebrite, яку згодом було видалено («атака» вимагала фізичного доступу до телефону та можливості розблокування екрана; тобто вона зводилася до перегляду повідомлень у месенджері, але не вручну, а за допомогою спеціального додатку, що імітує дії користувача).
Моксі вивчив програми Cellebrite і виявив критичні вразливості, які дозволяли виконувати довільний код при спробі сканування спеціально створених даних. Додаток Cellebrite також виявив використання застарілої бібліотеки ffmpeg, яка не оновлювалася протягом 9 років і містить велику кількість незаправлених вразливостей. Замість визнати проблеми та виправити їх, Cellebrite опублікувала заяву, що піклується про цілісність даних користувачів, зберігає безпеку своїх продуктів на належному рівні.
І нарешті, найбільше досягнення: його було присуджено Ільфаку Гільфанову, автору дизасемблерa IDA та декомпілятора Hex-Rays , за його внесок у розробку інструментів для дослідників безпеки та здатність підтримувати продукт у актуальному стані протягом 30 років.
Джерело: https://pwnies.com