Hoofdcategorieën
Device Settings

[RSS] [quick] Index » Nieuws » Core » Software » Opnieuw ernstig veiligheidslek in Internet Explorer

Opnieuw ernstig veiligheidslek in Internet Explorer

Door Cyril Roos, woensdag 12 december 2001 21:42
Bron: Newsbytes, views: 861

Security bugjeDe Finse security expert Jouko Pynnonen heeft vorige maand een zeer ernstig lek ontdekt in Microsoft's Internet Explorer. Door gebruik te maken van de vulnerability kan een website bezoekers ongemerkt programma's laten downloaden en uitvoeren. De versies 5.0, 5.5 en 6.0 lopen risico, alsmede MS Outlook en Outlook express, omdat die gebruik maken van IE om HTML mails te lezen. Attackers moeten een webserver draaien, aangezien de HTTP headers aangepast moeten worden om van de bug gebruik te maken.

De bug werd op 19 november aan Microsoft gemeld, maar vanwege de ernst ervan werd besloten om het lek stil te houden om in stilte aan een oplossing te kunnen werken. Op dit moment wordt de patch getest en een release laat waarschijnlijk niet lang meer op zich wachten. Een tijdelijke oplossing is om file downloads te disablen.

Vorige maand ontdekte Pynnonen ook al een bug in IE, toen ging het om de manier waarop Internet Explorer omging met Cookies:

By design, IE should warn users when they attempt to download and open an executable file. But as a result of the security flaw, a malicious Web site could "relatively easily and unnoticeably ... spread virii, install DDoS zombies or backdoors, format hard disks, and so on," wrote Pynnonen in an advisory posted Nov. 26 to Bugtraq, a mailing list for security experts.

Pynnonen revealed that the bug lies in IE's processing of Internet addresses and "header" information that tells the browser what type of file it is handling. The flaw is particularly dangerous because it can be exploited using ordinary Web page code, without help from JavaScript or other scripting programs, he said.

wow wees ons op dit artikel

Volgende 23:12 Dutch Power Cows hitparade van 11 december
Vorige 21:27 Ace's Hardware Workstation Guide Part 1
Advertentie

Categorieën

Gerelateerde content

Reacties

Flat modeFlat mode Sorteer aflopendSorteer aflopend Moderatie FAQModfaq
Niveaufilter: -1 Ongewenst: 59 reacties zichtbaar590 Off-topic / Irrelevant: 48 reacties zichtbaar48+1 On-topic: 36 reacties zichtbaar36+2 Informatief: 10 reacties zichtbaar10+3 Spotlight: 4 reacties zichtbaar4
«  1  2  3  »

Door pinockio, woensdag 12 december 2001 21:44

Score: 0
Zaten die bugs niet in IE 4.0? :+

Door 4of9, woensdag 12 december 2001 21:45

Score: 3
hmm nu maken ze het toch wel erg bont als zelfs gewoon HTML een security risk word...

* 786562 4of9

Door RM-rf, woensdag 12 december 2001 22:12

Score: 3
in zekere zin niet, waarschijnlijk wordt vanuit html gerefereerd naar een bestand dat vervolgens een header meekrijgt die hem als application/octet-stream meekrijgt (en ja als je een webserver controleerd kan je dat simpelweg doen, zelfs zonder specifieke rechten lukt dat al met .htaccess)

de bug is echter dat op de een of andere methode de warning die men krijgt dan omzeilt wordt, ik vermoed eigenlijk dat dit gaat via de about:-bug, daar is echter wel javascript voor nodig (iets als about:<script>document.write('<img src="http://www.hackers.org/gemeenscript.vbs">')</script&gt ;)
(absoluut niet gebaseerd op kennis, maar een vermoeden, als deze persoon al met juist die bug bezig was)
mocht dit echter wel het geval zijn, is Opera eveneens vulnerable.

verder is juist het gegeven dat je een webserver moet draaien wel een grote drempel om dit toe te passen, zoiets is erg tracable en plaatst de script-kiddo wel erg open voor de opsporingsorganisaties (ach ja, FBI doet ook nog wel eens goed ;) )
het ILOVEYOU-virus werkte ook gedeeltelijk hiermee, voor sommige extra beschadigende bestanden, echter die page was al binnen enkele uren uit de lucht gehaald, en aan de hand hiervan wist men de dader te tracen (alhoewel hij vervolgens niet veroordeeld kon worden)

Door abraxas, woensdag 12 december 2001 23:57

Score: 1
zou 't misschien niet zo simpel zijn als een "Location: [url="file://c:/command.com\"]file://c:/command.com\\"[/url] maybe ?

[edit]
okay, zojuist /. even gelezen.. 't is iets extremer :) en veel gevaarlijker.., je kan gewoon remote files executen op deze manier... eek

Door Steven, zaterdag 15 december 2001 22:24

Score: 1
Als je lokaal bestanden kan starten kan je met FTP en een omweg ook externe bestanden starten.

Door Blue-eagle, woensdag 12 december 2001 21:45

Score: 1
Hoe komen deze dingen dan toch nog in de 'open lucht' terecht vraag ik me dan af... als ze het nou ook daadwerkelijk stil houden, zodat niemand er misbruik van kan maken. Maar nee: let everyone know!! Haxorz - go ahead, ruin my day!

Door Jorden Verwer, woensdag 12 december 2001 22:05

Score: 3
Dat is juist het hele probleem. Als je een security hole "oplost" door hem geheim te houden, weet je nooit zeker of er iemand achter komt er in het geheim gebruik van gaat zitten maken. Daarom is het ook zo'n slecht systeem (plus dat het principieel onacceptabel is voor veel mensen om holes bewust niet te fixen).

Door jubeth, donderdag 13 december 2001 00:18

Score: 0
Medelen op de Bugtraq mailinglist zou ik bepaald niet als 'geheim houden' willen bestempelen. Die list heeft duizenden members, waaronder ik (uiteraard), en zo 'stil' was men er bij Microsoft niet over. Men heeft juist (zoals wel vaker gebeurt, ook bij BSD en Linux holes) vriendelijk verzocht om de bug niet verder rond te schreeuwen, omdat 'ie vrij gevoelig ligt.
Laten we wel wezen, zonder Microsoft had de bugtraq mailinglist nooit bestaan en zouden we hier geen Tweakers.net pagina's laden.

Door Bigs, woensdag 12 december 2001 22:23

Score: 3
Dat is ook gebeurd. Microsoft weet al sinds 19 november over het bestaan van deze bug, maar ze hebben het gewoon stilgehouden zodat er geen misbruik van gemaakt kon worden; 'Security through Obscurity', maar dit werkt gewoon niet want vroeg of laat komen er toch wel andere mensen achter die er wel misbruik van gaan maken.

Zie ook dit artikel op /.: http://slashdot.org/articles/01/12/11/2125224.shtml
Daar staat ook meer uitleg over hoe die bug werkt.

Hier roept Microsoft trouwens op tot het niet meer publiceren van security exploits, wat zij dus zelf ook al doen kennelijk: http://www.microsoft.com/technet/treeview/default.as p?url=/technet/columns/security/noarch.asp Erg fout van ze IMO.

Door -Joost, woensdag 12 december 2001 22:58

Score: 0
Vroeg of laat komen mensen er wel achter ja, maar ze werken wel aan een patch ondertussen! Ik vind het alleen maar goed dat ze het geheim houden totdat er een patch is, zo heb je veel minder risico.

* 786562 -Joost

Door Paitor, woensdag 12 december 2001 21:45

Score: 0
Volgens mij moet Microsoft die vent maar in dienst nemen. Wordt de software ook weer beter van...

Door zonoskar, woensdag 12 december 2001 21:47

Score: 1
Je zou er toch spontaan geen IE meer door gaan gebruiken. Ik ben niet anti-MS, maar de beveiligingslekken lopen wel de spuigaten uit hoor. Hopelijk krijgt MS dit gat snel gedicht, anders zullen toch veel bedrijven en particulieren naar een andere mailclient overstappen. Ik begin nu ook al rond te kijken naar alternatieven. Is de mailclient in Opera al een beetje uitgekristaliseerd?

/edit ik bedoel natuurlijk browser |:(

Door Joop, woensdag 12 december 2001 21:56

Score: 1
Natuurlijk is het slecht dat zulk soort dingen gebeuren, maar dat is gewoon een kwaal van software in het algemeen. Bug-loze software bestaat niet.
En ik vind dat MS tegenwoordig een stuk beter met veiligheid (en stabiliteit) om gaat als vroeger. Als een willekeurige andere browser minstens 80% van de martk in handen had zouden daar ook meer bugs worden gevonden.

Door plok, woensdag 12 december 2001 22:07

Score: 2
Als een willekeurige andere browser minstens 80% van de martk in handen had zouden daar ook meer bugs worden gevonden

Ik ben nog zo'n figuur die de allereerste versie van Mosaic heeft gebruikt en daarna Netscape. Toen deze software 80% van de markt in handen had kwamen lekken toch echt minder voor. Natuurlijk waren er toen ook minder gebruikers, maar zelfs op het moment dat Netscape en IE ongeveer een even groot marktaandeel hadden was er duidelijk een verschil in aantal lekken merkbaar.

Door x-wolf, woensdag 12 december 2001 22:35

Score: 1
Niet geheel goede vergelijking.In die tijd waren nl. de functionaliteit van browsers ook veel minder uitgebreid en daarnaast ook minder geschikt voor de leek.
Verder is IE nu natuurlijk ook wel erg interessant om naar security bugs te zoeken omdat zo gruwelijk veel mensen deze browser gebruiken. Veel meer dan destijds toen Netscape nog 80% marktaandeel had.

* 786562 x-wolf

/edit
reactie op Plok hieronder: plugins die zelf installen ipv dat jezelf aan het prutsen moet, Outlook die makkelijk links maakt met je adresboek, 1 klik binnen outlook op een .jpg bestandje en je kunt het al bekijken met een viewer ipv dat je het eerst moet opslaan enz.

Door plok, woensdag 12 december 2001 22:48

Score: 1
reactie voor x-wolf:
en daarnaast ook minder geschikt voor de leek.
Wat bedoel je hier mee, minder geschikt voor de leek? Ik zou zeggen, eerder beter geschikt voor de leek, omdat er minder zaken in zaten die je kon instellen.

Door plok, donderdag 13 december 2001 09:47

Score: 1
nog een reactie op x-wolf:
reactie op Plok hieronder: plugins die zelf installen ipv dat jezelf aan het prutsen moet, Outlook die makkelijk links maakt met je adresboek, 1 klik binnen outlook op een .jpg bestandje en je kunt het al bekijken met een viewer ipv dat je het eerst moet opslaan enz.
Wat heeft Outlook nu weer te maken met de opmerking dat andere browsers vroeger voor een leek veel simpeler waren. Want daar hadden we het over.
:?

Door tigger, woensdag 12 december 2001 21:59

Score: 1
Door Opera of Netscape te gaan gebruiken wordt het onmiddelijk beter:

Javascript security bug in Opera
"Met behulp van javascript is het voor hackers mogelijk om informatie uit cookies van een ander domein te halen. Dit probleem komt voor in de versies 5.02, 5.10, 5.11 5.12 voor Windows en in de 5.0 versie voor Linux. Tevens zou het mogelijk zijn om de browser cache en browser historie te lezen."
http://www.tweakers.net/nieuws/19268

Etc. etc.

Door Flipz, woensdag 12 december 2001 22:18

Score: 1
Een cookie is wel even iets heel anders dan de complete inhoud van je HD. Trouwens... cookies verwijderen zit uiteraard ook als standaard optie in opera :)
Attackers moeten een webserver draaien
apt-get install apache

Door Paz, woensdag 12 december 2001 22:08

Score: 1
flipz,

hoeveel mensen denk je dat er dagelijks proberen om bugs in opera te vinden t.o.v. het aantal mensen dat dat voor ie probeert? natuurlijk is dit een vervelende bug en daar moet dan ook zsm een patch voor komen, maar denk je nou echt dat ms dat niet zelf doorheeft? d'r zitten daar mensen die echt tot de top op het gebied van software engineering behoren en er 24/7/365 mee bezig zijn om security flaws zsm op te lossen.

natuurlijk heeft mozilla minder bekende bugs dan ie, net zoals mac os 9.2 minder bekende bugs schijnt te hebben dan windows 2000, maar zet dat eens in perspectief!

(ps, 99% van de hacks/exploits komen pas uit NADAT er al een patch uit is. daar ligt gewoon een heel belangrijk beheers issue bij bedrijven (en bij mensen thuis) Daarnaast; wanneer word je nou bekender in het software wereldje; als je met groot misbaar weer een bug in evil explorer ontdekt of als je een bug in opera vindt?)


overigens bestaat deze bug al voor opera }> :
http://www.securityfocus.com/archive/1/177994

Door TheGhostInc, donderdag 13 december 2001 00:52

Score: 2
Of een programma Open Source of Closed Source is doet helemaal niks af aan de kwaliteit.
Software wordt zo goed als de makers zijn, misschien is er wel veel kennis in de open source wereld, maar als niemand zin heeft er tijd in te stoppen begin je toch niks.
Veel mensen willen weer terug naar bv. netscape, dat is net zo goed Closed source geweest. Daarnaast worden de meeste fixes bij open source toch door de makers gedaan, zij zijn immers het beste bekend met de code, alleen het probleem zoeken is voor anderen soms nog wel te doen.

* 786562 TheGhostInc

Door Standeman, woensdag 12 december 2001 21:57

Score: 1
Ik begin hier echt een beetje moe van te worden. Is het nou zo dat lekken in Opera, netscape e.d nooit bekend worden, worden de lekken van microsoft altijd met veel bombarie gepresenteerd of is er echt wat mis met microsoft??

Ik begin het nu wel een beetje eng te vinden om IE te gebruiken, en helemaal op m'n werruk enzo... dit begint echt een beetje "scary" te worden...

Is IE nu echt veel meer "buggy" dan andere browsers of lijkt het nu maar zo?

Stan begint er steeds meer aan te denken dattie Opera of Mozilla gaat gebruiken..

Door Slarioux, woensdag 12 december 2001 22:00

Score: 1
Idd... een bug in Netschaap of Mozilla ofzo hoor je nooit, maar de bugs in de meest succesvolle browser ter wereld worden overal met een triomfantelijk 'weer-een-bug! ' naar buiten gebracht.

Door Roland684, woensdag 12 december 2001 22:21

Score: 0
Na als die ophef (en zeker niet onterecht gezien het aantal virussen van de laatste tijd) begin jij het "een beetje scary te vinden"??? Bedoel je dat je eindelijk maar eens een virusscanner gaat installeren?

Klinkt alsof je echt hardleers bent/was en maar blijft/bleef volhouden dat het allemaal overtrokken is omdat IE nu eenmaal de meest gebruikte browser is. Of dat nu de reden is laat ik in het midden, maar het is wel een risico dat zich inmiddels dubbel en dwars bewezen heeft.. Als je het nu wat scary gaat vinden dan benje wel een paar jaar te laat.

Door Bigs, woensdag 12 december 2001 22:26

Score: 2
In Netscape zitten zeker net zoveel bugs (uiteraardniet allemaal op gebied van veiligheid), maar kijk dit eens:

http://bugzilla.mozilla.org/

Hier word elke mozilla bug gemeld en meteen opgelost en in de nieuwste source verwerkt, vaak nog voordat het in het nieuws komt. Hier zie je weer een Microsoft bug, waarvan MS het bestaan allang wist (zie ook mijn andere post hierboven), maar waar niks aan word gedaan. Dan mag het ook aan de grote klok gehangen worden, dat kun je namelijk gewoon niet maken.

Door oVRoM, woensdag 12 december 2001 23:07

Score: 2
Hier zie je weer een Microsoft bug, waarvan MS het bestaan allang wist (zie ook mijn andere post hierboven), maar waar niks aan word gedaan.
Hoezo waar niets aan wordt gedaan? Er staat duidelijk:
De bug werd op 19 november aan Microsoft gemeld, maar vanwege de ernst ervan werd besloten om het lek stil te houden om in stilte aan een oplossing te kunnen werken.
Ik kan goed begrijpen waarom ze het nog niet naar buiten brengen zolang er (voorlopig) nog geen patch is. Zodra het lek bekend is, gaan mensen proberen deze te exploiten, wat niet (of veel minder) gebeurd wanneer Microsoft de bug niet openbaar maakt.

Door ycode, zaterdag 15 december 2001 22:18

Score: 0
Ze hebben nu dus een MAAND aan een bug kunnen werken voordat ze het naar buiten brengen. Dat zijn ongeveer 160 manuren. Dat is veel voor 1 bug !
Als ze een bug niet openbaar maken nemen ze dus, blijkbaar, de tijd om het te fixen, maar ondertussen kunnen mensen wel die bug ook gevonden hebben.

Door Tader, woensdag 12 december 2001 23:14

Score: 2
Waar ik mij juist zorgen om maak is dat ze bij Microsoft in het vervolg ernstige bugs maanden geheim willen houden, zodat ze *in alle rust* aan een bugfix kunnen werken... Na een paar maanden zeggen ze dan dat je computer al maanden lang simpel gecracked kon worden...

Bij Mozilla heb je, zoals de vorige poster reeds zei, tenminste nog de bugzilla waar bugs meteen te zien zijn, zodat je tenminste in het uiterste geval even je browser niet gebruikt tot de patch er is... Maar dan is er nog de mogelijkheid om te weten te komen dat je met een lekke schuit zeilt...

Door RRRobert, woensdag 12 december 2001 21:57

Score: 1
Volgens mij moet Microsoft die vent maar in dienst nemen. Wordt de software ook weer beter van...
Die Jouko Pynnonen is toch Fins? Lijkt me logisch dat ie eerder kiest voor Linux-development ;)

Door grimlock, woensdag 12 december 2001 22:00

Score: 0
Wat een onzin dat een andere browser beter zou zijn. Heel de wereld gebruikt bijna IE, natuurlijk wordt deze browser dan helemaal doorgelicht. Ik denk niet dat die Fin zijn tijd gaat verdoen aan een brouwsel als Netscape ofzo. Wat heeft dat voor nut? Klagen over IE is simpel, net dat Linux-Windows spelletje. En wat zie je daar gebeuren???? Ja juist ja. Linux wordt bekender en ze beginnen ook stomme fouten te maken waardoor een kernel een dag later weer een nieuwe revisie heeft. Als je producten maakt zoals MS, met soms wel 50 miljoen regels, dan kan het inderdaad gebeuren dat er fouten in zitten ja. En maar lekker klagen jongens! Klagers proberen alleen maar boven de massa uit te stijgen met luchtledige opmerkingen die nergens op gebaseerd zijn...

Door Roland684, woensdag 12 december 2001 22:19

Score: 1
Dus fouten moeten maar geaccepteerd worden omdat het grote programma's zijn? :?

Probleempje bij de fouten in Microsofts software is natuurlijk wel dat Microsoft de enige is die er wat aan kan doen, dus meer dan klagen (en wat dreigen met virussen omdat klagen maar slecht blijkt te werken) zit er niet in.

Door grimlock, woensdag 12 december 2001 22:26

Score: 1
Ik stel niet dat fouten acceptabel zijn, maar een eis dat software foutvrij is kan gewoon niet, en dat wordt bijna gesteld in dit nieuwtje.
«  1  2  3  »

Op dit item kan niet meer gereageerd worden.

Volgende 23:12 Dutch Power Cows hitparade van 11 december
Vorige 21:27 Ace's Hardware Workstation Guide Part 1
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011