Microsoft wint 'Epic FAIL' award voor IE8
Microsoft was de grote verliezer tijdens de Pwnie Awards van afgelopen nacht, toch ging de softwaregigant met de 'Epic FAIL' award naar huis. Elk jaar worden tijdens de Black Hat Conferentie de Pwnie Awards georganiseerd, een speciaal evenement waarbij de grootste lekken en beveiligingsblunders in de prijzen vallen. In totaal waren lekken in en aanvallen op Microsoft software tien keer genomineerd, maar ging de softwaregigant er uiteindelijk met drie Pwnies vandoor.
Het eerste beeldje was er voor 'Best Privilege Escalation Bug'. Dit lek was aanwezig in alle Windows versies van NT 3.1 t/m Windows 7 en werd ontdekt door Google-onderzoeker Tavis Ormandy. De jury loofde vooral de kennis die Ormandy had over de "obscure aspecten van de Intel architectuur." De tweede Pwnie was voor het meest innovatieve onderzoek. Dionysus Blazakis ontdekte een manier voor het omzeilen van de Windows beveiligingsmaatregelen DEP en ASLR via de Flash AVM2 virtual machine en JIT engine. "Zijn werk was nieuw en opende een geheel nieuwe richting in exploit-onderzoek", aldus de Jury.
Epic FAIL
Bij de verkiezing voor 'Epic FAIL' had Microsoft geduchte concurrentie. Ook McAfee was genomineerd wegens het verminken van miljoenen computers via een foute anti-virus update en ook IBM maakte een kans, wegens het verspreiden van geïnfecteerde USB-sticks tijdens een beveiligingsconferentie. Toch was het Internet Explorer 8 dat er met de prijs vandoor ging. "Soms zorgt het geven van 110% ervoor dat je FAIL nog meer epic is. En wat voor zin zou het internet hebben als het deze FAIL niet voor eeuwig kon vastleggen?", aldus de jury.
De fout in IE8 betrof het cross-site scripting filter, dat ervoor zorgde dat juist beveiligde websites kwetsbaar voor cross-site scripting waren. "Ironisch. Epic. Fail", waren de woorden van de jury.
Prijzen
De award voor server-side bug, waar Microsoft ook aan meedeed, ging naar de Apache Struts2 framework remote code execution. De 'Best Client-Side Bug' was voor het Java Trusted Method Chaining-lek. Verder won LANRev de Pwnie voor 'Lamest Vendor Response'. De software van het bedrijf kreeg veel aandacht omdat het door scholen werd gebruikt voor het bespioneren van leerlingen. Later bleek dat er ook een lek in de software zat waardoor aanvallers het systeem konden overnemen.
De reactie van het bedrijf was volgens de jury hilarisch. "Is het in theorie mogelijk om dit te misbruiken? Natuurlijk is dat zo. Maar we zijn niet bekend met klanten die hier een probleem mee hebben. Als een klant zich hier druk om zou maken, dan zouden we ze meteen een patch geven", aldus LANRev vice president Tim Parker. De Pwnie voor het beste muzieknummer ging naar Dr. Raid en Heavy Pennies met hun 'Pwned - 1337 edition.'
Dat is 'muziek' nummer zuigt!
Per 'ongeluk' jarenlang informatie pikken door Google Streetview, lijkt mij toch de Epic fail van dit decennia.
Daar zijn de issues van IE8 maar een schijntje bij.
Ik zou daar eens willen gaan kijken op die Black Hat Conferentie, ik denk dat daar echt een bende wacko's rondloopt.
Maar al bij al: negatieve of positieve reclame, het is en blijft reclame punt
tsssss....
tsssss....
Als je het op vlak van kwantiteit wil bekijken wint MS nog, die maken nog meer computers onbruikbaar met Windows.
Per 'ongeluk' jarenlang informatie pikken door Google Streetview, lijkt mij toch de Epic fail van dit decennia.
Daar zijn de issues van IE8 maar een schijntje bij.
En het is geen 'fail', want geen fout, maar bewust gedaan. Niet goed on te doen, wel goed gedaan. Geen fail.
En ja, McAfee had 'm zeker ook verdient.
Misschien heeft MS een iets te grote monde gehad over de veiligheid van IE8?
Het filter diende juist ter bescherming om vervolgens sites die geen problemen hadden vatbaar te maken. Dan schiet je jezelf toch aardig in de voet. Epic fail dus.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?