Pwnie Awards 2014 ~ Security By Default

Ayer 6 de Agosto, se celebró la entrega de premios de los Pwnie Awards 2014, como todos los años, durante el congreso de seguridad Black Hat USA en Las Vegas. Si no conocías estos premios anteriormente, puedes acceder a otras menciones de este evento en nuestro blog, del que nos hemos hecho eco desde casi el 2009. Como resumen, se entregan los premios a los mejores FAILs en seguridad informática.

Esta claro que este año, reina en casi todas las categorías en las que aplique, la vulnerabilidad de OpenSSL Heartbleed, que hizo las delicias de todos al poder comprobar su facilidad en la explotación y como consiguió romper el propósito del servicio.

Las categorías de premios para este año son:

Best Server-Side Bug - Mejor vulnerabilidad del lado del servidor
Best Client-Side Bug - Mejor vulnerabilidad del lado del cliente
Best Privilege Escalation Bug - Mejor vulnerabilidad que permita escalada de privilegios
Most Innovative Research - Mejor trabajo de investigación
Lamest Vendor Response - Respuesta más absurda por parte de un fabricante
Best Song - Mejor canción
Most Epic FAIL - El FAIL más épico
Epic Ownage - El compromiso/incidente/brecha de seguridad más épico

Si bien todavía no tenemos los resultados de los ganadores, por el momento enumeramos a continuación, para cada una de las categorías, los candidatos a llevarse esta peculiar estatuilla:

Best Server-Side Bug - Mejor vulnerabilidad del lado del servidor

Abusing JSONP with Rosetta Flash (CVE-2014-4671) - Michele Spagnuolo
Heartbleed (CVE-2014-0160) - Neel Mehta and Codenomicon - GANADOR
IPMI: Sold Down the River - Dan Farmer
Embedded Device Hacking - Craig Heffner

Best Client-Side Bug - Mejor vulnerabilidad del lado del cliente

Google Chrome Arbitrary Memory Read Write Vulnerability (CVE-2014-1705) - Geohot - GANADOR
Heartbleed (CVE-2014-0160) - Neel Mehta and Codenomicon
Pwn4Fun Safari vulnerability (CVE-2014-1300) - Ian Beer
Goto Fail (CVE-2014-1266) - Anonymous

Best Privilege Escalation Bug - Mejor vulnerabilidad que permita escalada de privilegios

AFD.sys Dangling Pointer Vulnerability (CVE-2014-1767) - Sebastian Apelt - GANADOR
VirtualBox VM Breakout using 3D Acceleration (CVE-2014-0981) - Francisco Falcon
Linux Futex Bug (CVE-2014-3153) - Comex and Geohot
evasi0n iOS 7.0 jailbreak - evad3rs
Pangu iOS 7.1 Jailbreak - Pangu, Stefan Esser y otros

Most Innovative Research - Mejor trabajo de investigación

Hardware-assisted Memory Corruptions - Ralf-Philipp Weinmann
Bypassing Windows 8.1 Mitigations using Unsafe COM Objects - James Forshaw
RSA Key Extraction via Low-Bandwidth Acoustic Cryptanalysis - Daniel Genkin, Adi Shamir, Eran Tromer - GANADOR
Windows 8 UEFI Secure Boot Bypasses Yuriy Bulygin, Andrew Furtak, Oleksandr Bazhaniuk, John Loucaides from Intel Security, Corey Kallenberg, Xeno Kovah, John Butterworth, Sam Cornwell
Hacking Blind - Andrea Bittau, Adam Belay, Ali Mashtizadeh, David Mazieres, Dan Boneh