Microsoft est devenu le grand gagnant des Pwnie Awards de cette année, mais pour toutes les mauvaises raisons.

Des problèmes de correctifs de PrintNightmare aux failles d’Exchange Server en passant par la découverte et la divulgation par la NSA d’un bogue majeur dans le noyau de cryptographie Windows, les failles de sécurité de Microsoft ont souligné l’événement annuel qui reconnaît l’excellence et se moque de l’incompétence en matière de cybersécurité.

La pire des récompenses – Most Epic Fail – a été décernée à Microsoft pour sa gestion de la vulnérabilité PrintNightmare Print Spooler, un bogue qui a conduit à un correctif problématique et à d’autres questions sur le code potentiellement vulnérable.

La description de Pwnies résume la victoire douteuse :

Microsoft a essayé de le réparer mais a échoué. Puis j’ai réessayé de le réparer mais a échoué. Espérons qu’ils essaient encore. 2 patchs, et ça marche toujours ! Il va sans dire que Microsoft a identifié CVE-2021-34527 comme LPE ; un peu de volonté et le drame Twitter en ont fait RCE. Microsoft a proposé un autre correctif (hors bande) qui ne répare pas correctement le vecteur RCE et n’essaie même plus de réparer le LPE.

Le code buggy de Microsoft a également conduit à deux victoires supplémentaires, dont une à des chercheurs anonymes de la National Security Agency (NSA) des États-Unis pour la découverte d’une faille dans la vérification des signatures dans Windows.

[ Black Hat: New CISA Boss Introducers Herself to Hacker Community ]

La faille – CVE-2020-0601 – a complètement rompu la chaîne de confiance des certificats et a conduit à un avis majeur de l’agence de renseignement.

Par ailleurs, la découverte de défauts de sécurité dans Microsoft Exchange Server a conduit à une reconnaissance majeure pour Orange Tsai, chercheur principal chez DEVCORE.

Le travail d’Orange Tsai documentant de toutes nouvelles surfaces d’attaque sur les installations Exchange Server a remporté le prix Pwnie du meilleur bug côté serveur, un projet qui a identifié au moins sept nouvelles vulnérabilités qui exposent les entreprises à des attaques à distance.

Les Pwnies ont également reconnu le pionnier de l’industrie de la sécurité et l’IDA…