Microsoft wint 'Epic FAIL' award voor IE8
Microsoft was de grote verliezer tijdens de Pwnie Awards van afgelopen nacht, toch ging de softwaregigant met de 'Epic FAIL' award naar huis. Elk jaar worden tijdens de Black Hat Conferentie de Pwnie Awards georganiseerd, een speciaal evenement waarbij de grootste lekken en beveiligingsblunders in de prijzen vallen. In totaal waren lekken in en aanvallen op Microsoft software tien keer genomineerd, maar ging de softwaregigant er uiteindelijk met drie Pwnies vandoor.
Het eerste beeldje was er voor 'Best Privilege Escalation Bug'. Dit lek was aanwezig in alle Windows versies van NT 3.1 t/m Windows 7 en werd ontdekt door Google-onderzoeker Tavis Ormandy. De jury loofde vooral de kennis die Ormandy had over de "obscure aspecten van de Intel architectuur." De tweede Pwnie was voor het meest innovatieve onderzoek. Dionysus Blazakis ontdekte een manier voor het omzeilen van de Windows beveiligingsmaatregelen DEP en ASLR via de Flash AVM2 virtual machine en JIT engine. "Zijn werk was nieuw en opende een geheel nieuwe richting in exploit-onderzoek", aldus de Jury.
Epic FAIL
Bij de verkiezing voor 'Epic FAIL' had Microsoft geduchte concurrentie. Ook McAfee was genomineerd wegens het verminken van miljoenen computers via een foute anti-virus update en ook IBM maakte een kans, wegens het verspreiden van geïnfecteerde USB-sticks tijdens een beveiligingsconferentie. Toch was het Internet Explorer 8 dat er met de prijs vandoor ging. "Soms zorgt het geven van 110% ervoor dat je FAIL nog meer epic is. En wat voor zin zou het internet hebben als het deze FAIL niet voor eeuwig kon vastleggen?", aldus de jury.
De fout in IE8 betrof het cross-site scripting filter, dat ervoor zorgde dat juist beveiligde websites kwetsbaar voor cross-site scripting waren. "Ironisch. Epic. Fail", waren de woorden van de jury.
Prijzen
De award voor server-side bug, waar Microsoft ook aan meedeed, ging naar de Apache Struts2 framework remote code execution. De 'Best Client-Side Bug' was voor het Java Trusted Method Chaining-lek. Verder won LANRev de Pwnie voor 'Lamest Vendor Response'. De software van het bedrijf kreeg veel aandacht omdat het door scholen werd gebruikt voor het bespioneren van leerlingen. Later bleek dat er ook een lek in de software zat waardoor aanvallers het systeem konden overnemen.
De reactie van het bedrijf was volgens de jury hilarisch. "Is het in theorie mogelijk om dit te misbruiken? Natuurlijk is dat zo. Maar we zijn niet bekend met klanten die hier een probleem mee hebben. Als een klant zich hier druk om zou maken, dan zouden we ze meteen een patch geven", aldus LANRev vice president Tim Parker. De Pwnie voor het beste muzieknummer ging naar Dr. Raid en Heavy Pennies met hun 'Pwned - 1337 edition.'
Dat is 'muziek' nummer zuigt!
Per 'ongeluk' jarenlang informatie pikken door Google Streetview, lijkt mij toch de Epic fail van dit decennia.
Daar zijn de issues van IE8 maar een schijntje bij.
Ik zou daar eens willen gaan kijken op die Black Hat Conferentie, ik denk dat daar echt een bende wacko's rondloopt.
Maar al bij al: negatieve of positieve reclame, het is en blijft reclame punt
tsssss....
tsssss....
Als je het op vlak van kwantiteit wil bekijken wint MS nog, die maken nog meer computers onbruikbaar met Windows.
Per 'ongeluk' jarenlang informatie pikken door Google Streetview, lijkt mij toch de Epic fail van dit decennia.
Daar zijn de issues van IE8 maar een schijntje bij.
En het is geen 'fail', want geen fout, maar bewust gedaan. Niet goed on te doen, wel goed gedaan. Geen fail.
En ja, McAfee had 'm zeker ook verdient.
Misschien heeft MS een iets te grote monde gehad over de veiligheid van IE8?
Het filter diende juist ter bescherming om vervolgens sites die geen problemen hadden vatbaar te maken. Dan schiet je jezelf toch aardig in de voet. Epic fail dus.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.