Az alábbiakban olvashatjátok az idei Pwnie Awards jelöltjeinek listáját. A linkek a blogon megjelent korábbi bejegyzésekre mutatnak, ahol lehet. Részletesebb információkért érdemes átnézni az eredeti oldalt is. Továbbá külön szeretném felhívni a figyelmet a "Leginnovatívabb kutatás" címre jelölt anyagokra, amiket biztosan érdemes elolvasgatni!

Legjobb szerveroldali hiba

• SMB Negotiate Protocol Request sebezhetőség
• Windows NTLM autentikáció, gyenge nonce
• Apache Struts2 keretrendszer, távoli kódfuttatás
• iPhone kódfuttatás SMS-sel
• IIS FTP szerver puffer túlcsordulás

Legjobb kliensoldali hiba

• Az "Aurora" sebezhetőség
• A Windows EOT font feldolgozó hibája
• Adobe U3D Mesh deklarációs tömbjének túlcsordulása
• Kódfuttatás a Flash AVM JIT fordítóban
•  Kódfuttatás a Windows HCP protokollkezelőjén keresztül

Legjobb jogosultságkiterjesztésre alkalmas sebezhetőség

• Windows #GP Trap handler
• Linux sock_sendpage NULL pointer dereferencia

A leginnovatívabb kutatás

• Flash mutatók kikövetkeztetése és JIT spraying
• Angol nyelvű shellkód
• Windows XP/2003 heap exploitálás a gyakorlatban
• Az Adobe Reader egyedi memóriamenedzsmentje: Egy kupacnyi probléma
• Nulla méretű heap foglalásokon alapulú sebezhetőség felderítés
• Gyakorlati padding támadások Oracle-el szemben
•  

 A legbénább gyártói válasz

• OpenCart - Akik szerint a CSRF egy kliens-oldali probléma, és arról egyébként sem tehetnek, ha felhasználóik rákattintanak mindenféle linkekre
• SpringSource - Akik tudják, hogyan kell pánikot kelteni a saját ügyfeleik körében
• A Novell iManager csapata - Akik még az automatikusa out-of-office üzeneteket sem képesek beállítani, és ezt el is ismerik
• LANRev - Akik nem olvassák a saját termékeikről szóló híreket

A Legjobb dal kategóriáért látogassatok el a hivatalos oldalra!

A Dalydave listán a fentieken kivűl összeszedtek még pár jelöltet, akik kimaradtak a szórásból, ezek között szerepel az NGINX webszerver távolról, autentikáció nélkül kihasználható sebezhetősége (melyre a Dual Core nótájában azért utalnak), a Java megbízható metódus láncolás nevű technika, az MS10-025 és az MS10-032, valamint a VulnDisco-ban megjelent egyik (nem nyilvános) Firefox exploit.

A magam részéről ezt a számot hiányolom az utolsó kategóriából :)