2021年度Pwnie奖获奖名单已公布。这是一项备受瞩目的盛事，参与者们在活动中揭露了计算机安全领域最重大的漏洞和最荒谬的缺陷。
Pwnie奖旨在表彰信息安全领域的卓越成就和不称职行为。获奖者由一个安全行业专业人士组成的委员会从信息安全社区收集的提名中选出。
获奖名单
最佳权限提升漏洞奖：该奖项授予 Qualys，以表彰其发现 `sudo` 工具中的 CVE-2021-3156 漏洞。该漏洞允许用户获取 root 权限。该漏洞已存在于代码中约 10 年，其显著之处在于，发现该漏洞需要对该工具的逻辑进行彻底分析。
最佳服务器漏洞奖：该奖项旨在表彰在网络服务中发现并利用技术难度最高、最具挑战性的漏洞。本次获奖作品因发现了一种针对 Microsoft Exchange 的全新攻击途径而获奖。虽然此类漏洞的信息尚未全部公开，但已披露的漏洞包括 CVE-2021-26855（ProxyLogon），该漏洞允许攻击者在未经身份验证的情况下从任意用户处检索数据；以及 CVE-2021-27065，该漏洞允许攻击者在具有管理员权限的服务器上执行代码。
最佳加密攻击奖：表彰发现现实世界加密系统、协议和算法中最重大缺陷的攻击。微软因其在椭圆曲线数字签名实现中发现的漏洞（CVE-2020-0601）而获此殊荣。该漏洞允许攻击者基于公钥生成私钥。此漏洞使得攻击者能够伪造HTTPS TLS证书和虚假数字签名，而Windows系统却能将其验证为可信。
最具创新性的研究：该奖项授予了提出 BlindSide 方法的研究人员，该方法利用处理器推测性指令执行产生的侧信道泄漏来规避地址随机化安全 (ASLR)。
微软因多次发布补丁未能修复Windows打印输出系统中的PrintNightmare漏洞（CVE-2021-34527）而荣获“史诗级失败奖”。该漏洞允许攻击者执行代码。微软最初将该问题标记为本地漏洞，但后来发现攻击者可以远程发起攻击。随后，微软发布了四次更新，但每次修复都只针对特定情况，研究人员很快又发现了新的攻击方法。
最佳客户端软件漏洞奖：该奖项授予了一位发现三星安全加密技术中 CVE-2020-28341 漏洞并获得 CC EAL 5+ 安全认证的研究人员。该漏洞使得攻击者能够完全绕过三星的安全保护，访问芯片上运行的代码和存储在安全区域中的数据，绕过屏幕保护程序锁定，并修改固件以创建隐藏的后门。
最被低估的漏洞： Qualys 因发现 Exim 邮件服务器中多个 21Nails 漏洞而获奖，其中 10 个漏洞可被远程利用。Exim 开发人员最初对这些漏洞的利用持怀疑态度，并花费了六个多月的时间来开发修复程序。
最弱厂商回应：这是对自身产品漏洞报告回应最不力的提名。获奖者是 Cellebrite，一款面向执法部门的取证和数据挖掘应用程序。Cellebrite 未能对 Signal 协议作者 Moxie Marlinspike 发布的漏洞报告做出充分回应。Moxie 在媒体报道 Cellebrite 开发出一种破解加密 Signal 消息的技术后，开始关注 Cellebrite。但后来证实该报道不实，原因是对 Cellebrite 网站上文章中的信息存在误解，该文章随后被删除（所谓的“攻击”需要物理接触手机并解锁屏幕；也就是说，攻击本质上是查看即时通讯软件中的消息，但并非手动操作，而是使用一款模拟用户操作的特殊应用程序）。
Moxie 检查了 Cellebrite 应用程序，发现了在尝试扫描特制数据时允许执行任意代码的关键漏洞。 Cellebrite 应用程序还透露了一个事实，它使用了一个过时的 ffmpeg 库，该库已经 9 年没有更新，并且包含大量未修补的漏洞。 Cellebrite 并没有承认问题并修复它们，而是发表了一份声明，表示它关心用户数据的完整性，将其产品的安全性保持在适当的水平。
最后，最伟大的成就奖颁给了 IDA 反汇编器和 Hex-Rays 反编译器的作者 Ilfak Gilfanov，以表彰他对安全研究人员工具开发的贡献以及他 30 年来保持产品更新的能力。