Hoofdcategorieën
Device Settings

[RSS] [quick] Index » Nieuws » Core » Software » Open source-bedrijf brengt patch uit voor Internet Explorer

Open source-bedrijf brengt patch uit voor Internet Explorer

Door Matthijs Abma, vrijdag 19 december 2003 15:58
Bron: The Age, submitter: Meneer Dik, views: 916

Het open source-bedrijf Openwares.org heeft een patch uitgebracht voor een bug in Microsofts Internet Explorer, zo meldt The Age. De patch voorkomt dat het deel van een url dat achter het karakter 0x01 komt niet wordt weergegeven. Door deze bug is het niet altijd even duidelijk welke url nou echt bezocht wordt en dat kan gebruikt worden om mensen gevoelige informatie afhandig te maken. De bug is daarom als 'critical' bestempeld. De heren van Openwares.org hebben niet gewacht op een patch van Microsoft, maar zijn meteen zelf begonnen. Naast de patch is ook de broncode te downloaden bij Openwares.org. Om te kijken of jouw Internet Explorer gevoelig is voor dit probleem heeft Openwares.org ook twee testpagina's online gezet.

Bug freeVolgens de heren van Heise.de zorgt deze patch echter voor meer beveiligingslekken dan dat er oplost worden. De buffer waar de url in gekopieerd wordt, is maar 256B groot. Als er vervolgens een url van meer dan 256 karakters gekopieerd wordt, ontstaat er een buffer overflow. Deze buffer overflow zorgt ervoor dat delen van de system stack worden overschreven. Als er dus code in de url wordt geplaatst, komt deze code op de stack terecht en wordt deze code uitgevoerd. Een url van 500 karakters overschrijft al cruciale onderdelen en zorgt ervoor dat Internet Explorer vastloopt. Openwares.org is ondertussen bezig met een nieuwe versie zonder de buffer overflow.

Volgende 16:41 XGI verwacht vier tot vijf miljoen videokaarten te leveren
Vorige 15:32 Voorbeschouwingen op S3 DeltaChrome S8 videokaart
Advertentie

Categorieën

Gerelateerde content

Reacties

Flat modeFlat mode Sorteer aflopendSorteer aflopend Moderatie FAQModfaq
Niveaufilter: -1 Ongewenst: 55 reacties zichtbaar550 Off-topic / Irrelevant: 47 reacties zichtbaar47+1 On-topic: 40 reacties zichtbaar40+2 Informatief: 19 reacties zichtbaar19+3 Spotlight: 8 reacties zichtbaar8
«  1  2  3  »

Door PeTAR, vrijdag 19 december 2003 16:02

Score: 1
Hmm, dit moeten ze vaker doen. Maar of het allemaal te vertrouwen is, is een andere vraag...
Iemand het al getest?

Door LarBor, vrijdag 19 december 2003 16:17

Score: 1
Opensource vriend. Of het te vertrouwen is, kun je zelf controleren :+

Door AlterEgo, vrijdag 19 december 2003 16:48

Score: 3
Dat kun je _niet_
IE is namelijk geen open source. Je kunt slechts gissen naar de totale interactie tussen de patch en IE.

Door Countess, vrijdag 19 december 2003 18:55

Score: 1
je kan toch aan de patch zelf zien dat hij een buffer gebruikt en gevoelig is voor een buffer overflow of niet.

Door jp, vrijdag 19 december 2003 16:02

Score: 2
Dat je een patch schrijft is nuttig en handig, maar schrijf dan wel een patch die meer oplost dan creeert aan fouten.. |:(

Door Brons, vrijdag 19 december 2003 16:15

Score: 1
Het mooie is wel dat je nu ook de nieuwe fouten in de source kan zien, als je een officiele patch gebruikt kan je dat niet weten.

Ik vind het zelf heel goed, al probeert MS de laatste tijd zo snel mogelijk patches te schrijven het duurt meestal toch nog redelijk lang.

Ik zou trouwens liever zien dat MS ze gaat uitbrengen.

Door BlackMage, vrijdag 19 december 2003 16:02

Score: 2
Ik denk niet dat microsoft dit ongemerkt voorbij laat gaan.

Door wumpus, vrijdag 19 december 2003 16:10

Score: 2
Ik denk het wel. Er zijn wel vaker Third Party patches voor Microsoft producten verschenen (met een andere overflow in IE geloof ik).
Microsoft heeft dit genegeerd en (iets later) gewoon een eigen patch uitgebracht. Wat verwacht jij dan?

Door Luxx, vrijdag 19 december 2003 16:14

Score: 3
Volgens mij staat zelfs ergens in de EULA dat je de software niet mag aanpassen/veranderen.
MS zal denk ik geen ondersteuning meer op je IE geven, als je deze bug hebt. Ook zal de echte patch wel niet meer werken, als je deze alternatieve patch installeert. Kortom, als je nu kiest voor de open-source patches, zul je daar aan vast blijven zitten. Aangezien ze daar de hele IE source niet hebben, zullen ze nooit alle patches snel en goed kunnen maken. Ik denk dat deze patch daarom ook niet zo'n goed idee is.

Door airliner, vrijdag 19 december 2003 16:31

Score: 1
met aan passen bedoelen ze de exe aanpassen en distribueren, dit is zeg maar remote aanpassen, wat de gebruiker zijn verantwoordlijkheid is en onmogelijk verboden kan worden mits het voor legale doeleinden dient

Door jeroenr, vrijdag 19 december 2003 16:44

Score: 3
En MS geeft je nu wel support op je IE?

Door erik_bies, vrijdag 19 december 2003 20:54

Score: 1
En hoevaak heb jij al support van mickysoft gehad als je weer eens een een vastgelopen IE hebt???

Leuk hoor dat support van microsoft, maar ik wordt er niet koud of warm van, ik denk dat ze niet begrijpen wat het woord betekend.

Door minion, vrijdag 19 december 2003 17:00

Score: 0
Een EULA is nog steeds niet geldig in Nederland en Duitsland. Dus als openwares hun server hier neerzet, is er niks aan het handje.

Door njoy18, vrijdag 19 december 2003 16:03

Score: 3
Daar gaat de betrouwbaarheid van MS Statements dat ze sneller zijn met het uitbrengen van patches als de OS community

Door Luxx, vrijdag 19 december 2003 16:09

Score: 2
hoezo, MS test tenminste een patch eerst een beetje voordat ze hem uitbrengen, deze patch lijkt me een gevaarlijker probleem te veroorzaken dan dat ie oplost....

Door Glashelder, vrijdag 19 december 2003 16:27

Score: 3
Wie zegt dat Microsoft niet dezelfde fout zou hebben gemaakt als ze een soortgelijke patch zouden hebben uitgebracht?
Tja dan kan je nooit weten, feit is wel dat zij (Openwares.org) de fout maakten. Ik vind het echt onzin om dan maar te zeggen dat MS de fout ook had kunnen maken. Typisch geval van niet goed testen dit imo

Door dingstje, vrijdag 19 december 2003 16:14

Score: 1
Wie zegt dat? We weten dat direct omdat we de source kunnen lezen. Als MS ook deze fout gemaakt zou hebben zou het hoogstwaarschijnlijk wel iets langer geduurd hebben eer de fout erin bekend werd, maar dan zou iedereen hem wel geïnstalleerd hebben waardoor het kwaad al geschied zou zijn.

Door DrWolffenstein, vrijdag 19 december 2003 18:40

Score: 1
We kunnen de IE source niet lezen en daarom is deze patch misschien nog wel gevaarlijker dan de bug die het oplost.

Door Fallen Angel, vrijdag 19 december 2003 19:20

Score: 1
De source kunnen lezen en kunnen begrijpen zijn nog steeds heel verschillende dingen dingstje. We zijn dan wel allemaal tweakers maar geen programmeurs ;)

Door dingstje, vrijdag 19 december 2003 20:52

Score: 1
Daarvoor moet je net rekenen op de community. Iedereen mag de source lezen en er wordt verwacht van de mensen die hem gelezen hebben en er iets van begrijpen de fouten die ze eventueel gevonden hebben door te spelen aan de auteurs (niet verplicht bij de meeste licenties)

Door ups-, vrijdag 19 december 2003 16:03

Score: 0
schitterend
als zij het niet doen, dan maar het recht in eigen handen nemen... =)
(weet niet of MS zich dit wel bevalt?)

Door GreeTz, vrijdag 19 december 2003 16:11

Score: 2
Ja geweldig, alleen erg jammer van de beveiligingslekken welke je met deze 'patch' kado krijgt...

een zeer onzinnige actie zoiets, ze hadden beter de patch even goed kunnen testen voor het te publiceren. Dit bevestigt namelijk weer het hobbyisten statement van de bedrijven welke geen vertrouwen in de open source community hebben.

Door Maxonic, vrijdag 19 december 2003 16:04

Score: 2
Het probleem wat er volgens Heise.de bij komt vind ik wel eens tuk serieuzer. Dan update ik liever nog maar even niet.

Ik ben wel benieuwd wat de reactie van Microsoft zal zijn. Vinden zij het wel prettig dat een ander bedrijf (dat nog open source is ook) een patch voor hun software maakt? Ik kan me niet herinneren dat dit eerder is gebeurd voor een security leak.

Door Squee, vrijdag 19 december 2003 16:06

Score: 3
Aan de ene kant is het wel een enorme harde dis in de richting van Microsoft, zo van "als jullie het niet snel fixen, dan doen we het zelf maar"... maar aan de andere kant ook wel ongelovelijk stom van ze dat ze zelf dan zo'n enorme stomme fout maken.
Vind het overigens wel knap dat ze IE weten te patchen zonder de source code zelf te hebben, zullen aardig wat uurtjes backward engineering in hebben gezeten om uit te vogelen hoe alles in elkaar stak en op welke plekken ze de binary moesten patchen! Hulde, dat ze er toch zoveel moeite in hebben gestoken terwijl het niet eens een open source programma is.... blijkbaar stoorden ze zich dermate aan die fout in IE...

Door yeep, zaterdag 20 december 2003 16:38

Score: 1
Ehh..nee. Het is niet knap. Er zitten geen uren aan reverse-engineering aan. Het is gewoon een plug-in die gebruik maakt van het plug-in framework van IE. Niets extreems moeilijks. Het is nog een extreem bugged plug-in ook. Puur rotzooi eigelijk. Volgens mij deden ze het alleen even snel voor naamsbekendheid.

Door shifter, vrijdag 19 december 2003 17:03

Score: 1
Daarnaast werken veel websites niet in IE <snip>
Greetings from the future? :+ Ten heden dage is het meer de uitzondering dan regel als een website niet functioneert in IE.

Niet dat ik het erg zou vinden als je bewering werkelijkheid was, maar ik zou wel eens willen weten wat jij onder 'veel' verstaat :)

Door Renegade, vrijdag 19 december 2003 16:15

Score: 2
Dat is geen fout in IE maar in de patch. Als je kijkt op deze pagina, dan staat daar het volgende stuk:
Es gibt von der Firma Openware.org einen "Patch" für dieses Problem. Dieser ist äußerst schlampig programmiert. Er arbeitet intern mit einem Puffer von 256 Zeichen, prüft aber die Länge der übergebenen URL nicht. So kann es zu einem Buffer Overflow kommen. Dieser ermöglicht es unter Umständen, Code mit den Rechten des angemeldeten Benutzers auszuführen. Die folgende, einfache Demo brachte in unseren Versuchen einen "gepatchten" IE 6 zum Absturz.
Grofweg vertaald staat daar dat de patch een buffer van 256 karakters gebruikt en daarbij niet de lengte van de url controleert. Nadat je de patch hebt geïnstalleerd kun je dus een url opgeven van bijvoorbeeld meer dan 256 karakters waarin je code verstopt die door die buffer overflow wordt uitgevoerd.

Zonder installatie van de patch heb je dat probleem dus niet. :)
«  1  2  3  »

Op dit item kan niet meer gereageerd worden.

Volgende 16:41 XGI verwacht vier tot vijf miljoen videokaarten te leveren
Vorige 15:32 Voorbeschouwingen op S3 DeltaChrome S8 videokaart
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011