2021年度Pwnie獎得獎名單已公佈。這是一項備受矚目的盛事，參與者在活動中揭露了電腦安全領域最重大的漏洞和最荒謬的缺陷。
Pwnie獎旨在表彰資訊安全領域的卓越成就和不稱職行為。獲獎者由一個安全行業專業人士組成的委員會從資訊安全社區收集的提名中選出。
獲獎名單
最佳權限提升漏洞獎：該獎項授予 Qualys，以表彰其發現 `sudo` 工具中的 CVE-2021-3156 漏洞。該漏洞允許使用者取得 root 權限。該漏洞已存在於程式碼中約 10 年，其顯著之處在於，發現該漏洞需要對該工具的邏輯進行徹底分析。
最佳伺服器漏洞獎：該獎項旨在表彰在網路服務中發現並利用技術難度最高、最具挑戰性的漏洞。本次獲獎作品因發現了一種針對 Microsoft Exchange 的全新攻擊途徑而獲獎。雖然此類漏洞的資訊尚未全部公開，但已披露的漏洞包括 CVE-2021-26855（ProxyLogon），該漏洞允許攻擊者在未經身份驗證的情況下從任意用戶處檢索資料；以及 CVE-2021-27065，該漏洞允許攻擊者在具有管理員權限的伺服器上執行程式碼。
最佳加密攻擊獎：表彰發現現實世界加密系統、協定和演算法中最重大缺陷的攻擊。微軟因其在橢圓曲線數位簽章實作中發現的漏洞（CVE-2020-0601）而獲此殊榮。該漏洞允許攻擊者基於公鑰產生私鑰。此漏洞使得攻擊者能夠偽造HTTPS TLS憑證和虛假數位簽名，而Windows系統卻能將其驗證為可信。
最具創新性的研究：該獎項授予了提出 BlindSide 方法的研究人員，該方法利用處理器推測性指令執行產生的側通道洩漏來規避位址隨機化安全性 (ASLR)。
微軟因多次發布修補程式未能修復Windows列印輸出系統中的PrintNightmare漏洞（CVE-2021-34527）而榮獲「史詩級失敗獎」。該漏洞允許攻擊者執行程式碼。微軟最初將問題標記為本地漏洞，但後來發現攻擊者可以遠端發動攻擊。隨後，微軟發布了四次更新，但每次修復都只針對特定情況，研究人員很快又發現了新的攻擊方法。
最佳客戶端軟體漏洞獎：該獎項授予了一位發現三星安全加密技術中 CVE-2020-28341 漏洞並獲得 CC EAL 5+ 安全認證的研究人員。該漏洞使得攻擊者能夠完全繞過三星的安全保護，存取晶片上運行的程式碼和儲存在安全區域中的數據，繞過螢幕保護程式鎖定，並修改韌體以創建隱藏的後門。
最被低估的漏洞： Qualys 因發現 Exim 郵件伺服器中多個 21Nails 漏洞而獲獎，其中 10 個漏洞可遠端利用。 Exim 開發人員最初對這些漏洞的利用持懷疑態度，並花了六個多月的時間來開發修復。
最弱廠商回應：這是對自身產品漏洞報告回應最不力的提名。獲獎者是 Cellebrite，這是一個針對執法部門的取證和資料探勘應用程式。 Cellebrite 未能對 Signal 協議作者 Moxie Marlinspike 發布的漏洞報告做出充分回應。 Moxie 在媒體報導 Cellebrite 開發出一種破解加密 Signal 訊息的技術後，開始關注 Cellebrite。但後來證實該報道不實，原因是對 Cellebrite 網站上文章中的信息存在誤解，該文章隨後被刪除（所謂的「攻擊」需要物理接觸手機並解鎖螢幕；也就是說，攻擊本質上是查看即時通訊軟體中的消息，但並非手動操作，而是使用一款模擬用戶操作的特殊應用程式）。
Moxie 檢查了 Cellebrite 應用程序，發現了在嘗試掃描特製數據時允許執行任意代碼的關鍵漏洞。 Cellebrite 應用程序還透露了一個事實，它使用了一個過時的 ffmpeg 庫，該庫已經 9 年沒有更新，並且包含大量未修補的漏洞。 Cellebrite 並沒有承認問題並修復它們，而是發表了一份聲明，表示它關心用戶數據的完整性，將其產品的安全性保持在適當的水平。
最後，最偉大的成就獎頒給了 IDA 反彙編器和 Hex-Rays 反編譯器的作者 Ilfak Gilfanov，以表彰他對安全研究人員工具開發的貢獻以及他 30 年來保持產品更新的能力。
資料來源：https ://pwnies.com