Microsoft past mogelijkheden ActiveX-object aan

Reacties

« 1 2 »

Door DaPoztMaster, zaterdag 3 juli 2004 21:29

Indien deze bestanden op je pc staan:
- kk32.dll
- surf.dat

(doe in dos: dir /a /s /b %systemdrive%\kk32.dll en dir /a /s /b %systemdrive%\surf.dat)

Heb je kwaadaardige code (keyloggers) op je pc staan die door dit lek naar binnen zijn gekomen.

Door mjtdevries, maandag 5 juli 2004 15:55

dos???

Bedoel je wellicht de command prompt?

Door LeHeraut, zaterdag 3 juli 2004 21:32

Het werd tijd dat Microsoft eens wat aan active-x ging doen want dat is zo lek als een mandje. Het lijkt tegenwoordig wel of er steeds sneller gaten worden gevonden in producten van MS terwijl je toch zou mogen verwachten dat ze de meeste gaten inmiddels wel gedicht hebben.

Dat is echter niet in één keer te bereiken en deze patch is dan ook slechts een stap in de goede richting, aldus de verantwoordelijke manager van Microsoft.

Het ziet er ook naar uit dat ze heel wat gaten te stoppen hebben. Straks hebben ze active-x zo gepatched dat er ook eigenlijk niets meer mee te doen valt.

Door catfish, zaterdag 3 juli 2004 21:39

beveiliging stond voor het inet tijdperk (dus alle win9x) niet als belangrijk op het lijstje
het is echt maar sinds een jaar dat men er actief iets probeerd aan te doen

die dingen zoals active-x zijn heus niet op 1 dag ontwikkelt hoor, achteraf blijkt gewoon dat er een backdoor in zit voor misbruik

Door Countess, zaterdag 3 juli 2004 21:47

het is echt maar sinds een jaar dat men er actief iets probeerd aan te doen

dat MS er actief wat aan probeerd te doen,
bij solaris, unix, en later linux, stond veiligheid al veel eerder op de prioriteiten lijstje.

Door eamelink, zondag 4 juli 2004 15:49

Uiteraard, maar daar werden al veel eerder multi-user systemen gebruikt, met belangrijke data. Dat wil je natuurlijk wat beter beveiligen dan een home-pc\\\\\\\'tje om wat spelletjes te doen en briefjes te typen (win95 computer)

Door DataGhost, zaterdag 3 juli 2004 22:11

die dingen zoals active-x zijn heus niet op 1 dag ontwikkelt hoor, achteraf blijkt gewoon dat er een backdoor in zit voor misbruik

je zou je bijna dingen gaan afvragen...
'windowsupdate stuurt geen gegevens naar microsoft'

Door n4m3l355, zondag 4 juli 2004 02:30

win9x en windows xp zijn totaal verschillend
win9x is duidelijk voor de users
terwijl winxp een afstammeling is van win2k wat weer een NT product is. hierin staat 'veiligheid' voor alles. de grote fout naar mijn idee zit 'm er dan ook in dat in windows alles teveel wordt geintegreerd waardoor je exploits als dit wel erg vergemakkelijkt.

kun je het direct een troll noemen.. maar onder andere browsers komt deze fout niet voor omdat deze los van het systeem staan.

wat ik trouwens ook wel leuk vind aan deze fout is altijd dat windows een doel is omdat het de meerderheid gebruikt. echter deze exploit komt in combinatie met een fout in IIS. IIS is niet het meest vertegenwoordigd op het internet maar apache. hieruit valt dan ook maar 1 ding te concluderen en dat is dat windows tegenover andere producten van lagere kwaliteit gegrammeerd is. ik ben dan ook van mening dat microsoft hetgeen waar ze nu al meer dan een jaar druk over doen (veiligheid voor de rest te stellen) ook eens daadwerkelijk doet en niet na 9 maanden met een patch aankomt

Door alt-92, zondag 4 juli 2004 13:49

FYI:
In de write-up bij deze regkey (want dat is de fix eigenlijk) staat ook dat het potentieel intranet apps die de functionaliteit gebruiken kan breken.

Een stap nemen die een functionaliteit breekt (net zoals SP2 voor XP een aantal software leveranciers problemen gaat bezorgen) doe je niet in één keer.

En voor wat betreft je IIS "argument"...
Alleen IIS5/6 (windows2000/2003) servers die niet in april gepatched zijn met ms04-011 en misconfigured zijn konden misbruikt worden als delivery mechanisme voor de backdoor.

Door DJ Henk, zondag 4 juli 2004 14:40

En voor wat betreft je IIS "argument"...
Alleen IIS5/6 (windows2000/2003) servers die niet in april gepatched zijn met ms04-011 en misconfigured zijn konden misbruikt worden als delivery mechanisme voor de backdoor.

Je beseft toch wel dat je met dit feit zijn argument juist versterkt?

Door TheOneLLama, zaterdag 3 juli 2004 22:20

Men "doet" helemaal niks aan ActiveX. Als je het artikel leest kun je zien dat Microsoft alleen dit Active-X component iets wijzigd.

Wat nou niet bepaald het enige Active-X component is wat standaard op je windows PC staat en schrijfrechten heeft op je hardeschijf.

Door AlterEgo, zaterdag 3 juli 2004 21:35

9 maanden

Zelfs het Amerikaanse Department of Homeland Security raadt het gebruik van Internet Explorer af:

'The Department of Homeland Security's U.S. Computer Emergency Readiness Team touched off a storm this week when it recommended for security reasons using browsers other than Microsoft's Internet Explorer.'"

Door cdhoestje, zondag 4 juli 2004 13:37

Het is daarom des te verbazingwekkender dat ditzelfde Homeland Security een exclusief contract heeft met Microsoft voor de software.

Door berend_engelbrecht, zaterdag 3 juli 2004 21:36

Het is ADODB.Stream, niet ADODB.screen.
Zie Microsoft KB870669.

Door WinL, zaterdag 3 juli 2004 21:45

Dit is inderdaad een verstandige zet van Microsoft. Ik vraag mij alleen toch nog steeds af waarom kwaadwillige code zo gemakkelijk kan 'inbreken' met de deuren open; daar moeten de programmeurs toch eerder aan gedacht hebben. De ActiveX technologie opzich (buiten de lekken

) vind ik wel goed en handig.

Door MrJay, zaterdag 3 juli 2004 22:52

Als de programmeurs op al die kleine details (ik weet het sommige zijn gigantisch) moet letten, geraakt zo'n active-X-component nooit af. Je kan als programmeur nu eenmaal geen waterdicht programma/script schrijven. Neem het hen niet kwalijk (kijk naar mezelf die het moeilijk vind alle lekken te dichten in zijn site

)

Als je dan toch "iets" de schuld wil geven, steek het dan op het feit dat men 9 maanden heeft gewacht om de patch uit te geven. Zo heeft men nu eenmaal de kans gegeven om al die keyloggers en andere spyware zich te laten installeren. Hieraan kan men integendeel wel iets doen. *kuch*sneller uitgeven*kuch*

Door Felix, zondag 4 juli 2004 00:49

Wat een enorme onzin. Als programmeur moet je beginnen met een VEILIG ONTWERP. Als je ontwerp niet veilig is (toestaan schrijfacties naar disk / OS / etc) wordt je software nooit veilig. Ik wil het al helemaal niet hebben over de tijd die het gekost heeft dit te patchen, terwijl Bill beweert dat ze binnen 48 uur een oplossing voor security problemen hebben.

Door MrJay, zondag 4 juli 2004 02:13

Ik vind jouw verhaaltje over lekdichte ontwerpen wel héél mooi, maar beveiligingslekken kunnen nu eenmaal in jouw verwezenlijking van dat ontwerp insluipen. Het ontwerp van mijn software/webapplicaties is ook waterdicht, ook al vind ik in mijn code regelmatig lekken!
Hetgener hieraan wel te verhelpen is om zo snel mogelijk een patch uit te brengen die jouw codeerfout oplost! En dit liefst zo snel mogelijk.

Door Onno, zondag 4 juli 2004 11:23

Ik vind jouw verhaaltje over lekdichte ontwerpen wel héél mooi, maar beveiligingslekken kunnen nu eenmaal in jouw verwezenlijking van dat ontwerp insluipen.

Ik denk ook niet dat Felix ontkent dat een goed ontwerp een garantie is voor foutloze software, alleen zei je in je post daarvoor heel wat anders. Je zegt dat je als programmeur niet op de details hoeft te letten, en dat is absoluut niet juist om verschillende redenen. Om eens wat te noemen gaat dat van de veronderstelling uit dat dit soort lekjes details zijn: als je echter een gedegen beveiligingsmodel had ontworpen was dat niet zo geweest.

(om maar eens een heel simpel voorbeeld te noemen: in een model waarin software voor elke handeling specifieke toestemming moet krijgen (van de security manager, gebruiker, wat dan ook) is de kans op een component dat per ongeluk te veel mag doen erg veel kleiner dan in een model waarin je dingen die niet mogen specifiek moet verbieden; in het eerste geval kan je component nog zo buggy geschreven zijn, maar als je security manager geen expliciete toestemming verleent kan ie niks schadelijks doen)

Door Fireshade, maandag 5 juli 2004 14:30

vanaf dag 1 dat microsoft met activeX uitkwam, hoorde je al van alle kanten dat dit misbruikt zou kunnen worden. en dat gebeurt ook om de haverklap.
het idee is leuk, maar de gekozen oplossing lijkt wel op dweilen met de kraan open.

Door dstibbe, zondag 4 juli 2004 07:38

Huh ,

een beetje fatsoenlijk programmeur , zeker als je iets bouwt waarvan je weet dat het enorm veel security risks met zoch mee kan brengen (code om via internet naar eimands harde schijf schrijven schreeuwt gewoon om extra aandacht), schrijft met zijn code ook de nodige test-cases .

Die code zal echt niet ff'tjes in elkaar worden geflanst . (althans, dat zou niet mogen gebeuren)

Door Intrepidity, zaterdag 3 juli 2004 21:56

@alterego:
Ach er zijn al meerdere sites die het afraden..
neem als voorbeeld anidb.net..

PS:
You should not use the microsoft internet explorer or any derivates (i.e. MyIE or stuff like that) for this site (or any other site on the internet, for security reasons).
AniDB may work with MS IE but that`s untested and unsupported

Ik gebruik zelf nog wel IE, omdat ik de rest gewoon niet prettig vind werken en niet goed genoeg integreert en samenwerkt met windows.. vind ik dan he.. en nou niet zeuren dat ik ongelijk heb, das een mening

Door Yinchie, zaterdag 3 juli 2004 22:26

Je moet gewoon wennen aan andere browsers zoals Firefox.

Dus je wilt ook liever virussen en trojans hebben?
Want dat integreert ook goed samen met windows

Door Paitor, zaterdag 3 juli 2004 22:37

Tsja, het leuke is, zodra 90% van het grote publiek deze browser gebruikt, worden daar de lekken gezocht en waarschijnlijk ook wel gevonden...

Bij linux worden er ook steeds meer lekken gevonden, virussen / worms zijn alleen niet leuk om te ontwerpen, het geeft niet de kick van het snelle verspreiden zoals bij Windows mogelijk is.

Er is geen software die perfect dichtgetimmerd is, makkelijk te configureren en ook nog eens aan alle eisen van de gebruiker voldoet.
Tussen deze driehoek moet een balans gevonden worden.
Moet wel zeggen dat FireFox op de goede weg is, het ondersteund meer dan dat bijv. Netscape deed.

Door PatMan, zondag 4 juli 2004 12:16

Tsja, het leuke is, zodra 90% van het grote publiek deze browser gebruikt, worden daar de lekken gezocht en waarschijnlijk ook wel gevonden...

Ongelooflijk hoe hardnekkig sommige misvattingen blijven bestaan.

Hier mijn reactie in een andere discussie op een soortgelijke stelling:

Dit wil Microsoft je inderdaad doen geloven met hun FUD campagne ("Get the facts"). Lees anders eens dit artikel van een voorstander van open source. Een citaat:

Can you explain why Windows IIS websites are cracked or defaced more often than Apache ones, despite the fact that IIS runs less than a third the number of sites Apache does?

Door raptorix, maandag 5 juli 2004 01:20

En hoevaak gaat het dan om machines die al MAANDEN niet zijn gepatcht? Als je gewoon dagelijks je windows 2000 machine bijhoud is er niets aan de hand, in ieder geval niet meer dan wel minder risico als bijvoorbeeld een linux machine met apache.

Door jkuperus, zaterdag 3 juli 2004 22:35

Helaas weer een patch die ontoerijkend is zoals deze demo bewijst :

http://62.131.86.111/security/idiots/malware2k/installer.htm

(voert cmd.exe /c pause uit)

Door Klovan, zaterdag 3 juli 2004 22:52

Dit ziet er inderdaad niet lekker uit:

var obj=new ActiveXObject("Shell.Application");obj.ShellExecute("cmd.exe","/c pause")

Als met zo'n simpele code al een programma kan worden opgestart... Maak er ff van cmd en dan iets met format en er kunnen hele verkeerde dingen gebeuren.

Er zijn natuurlijk wat oplossing voor behalve niet Internetten of alleen op links klikken die je vertrouwt:

Firefox
Mozilla
Opera

Reactie op rewan:
Als je cmd hebt opgestart, kan je natuurlijk ook het commando ftp opstart, daar kan je natuurlijk wel wat mee doen.

Door satyriasis, zaterdag 3 juli 2004 22:56

gegevens weg te schrijven

Volgens mij schrijft "cmd.exe /c pause" nix naar je hd??

Dat neemt niet weg dat het idd schadelijk is dat ze zomaar programma's kunnen uitvoeren, lang leve Opera

( no flame intended )

Door jkuperus, zaterdag 3 juli 2004 23:03

tja en als t nu eens cmd.exe /c del c:\windows was ?

of een ftp aanroep om een bestandje op je schijf te zetten

dit is alleen maar een onschuldig demotje maar ga er maar gerust vanuit dat je hiermee alles op je pc kan doen

die patch van microsoft is een lachertje

Door ImpaileR, zaterdag 3 juli 2004 22:58

Krijg daar alleen maar een melding van McAfee (JS/Exploit-DialogArg.b) te zien.

Door jkuperus, zaterdag 3 juli 2004 23:24

virus scanners zijn vrij nutteloos in de regel, een paar letters aanpassen in de programmacode en hij herkent hem niet meer, dus daarop vertrouwen moet je absoluut niet

Door PipoDeClown, zaterdag 3 juli 2004 23:04

werkt niet in ie6

Door FendtVario, zondag 4 juli 2004 11:04

Hier ook niet. Mozilla 1.7, Suse 9

Door Tigertje, zaterdag 3 juli 2004 23:06

In de tekst staat: "Dat is echter niet in één keer te bereiken en deze patch is dan ook slechts een stap in de goede richting, aldus de verantwoordelijke manager van Microsoft."

Door eymey, zaterdag 3 juli 2004 23:12

Ik gebruik Kaspersky personal op m'n PC en die sloeg meteen alarm bij het openen van deze link in IE. Bij m'n vriendin op haar PC staat nog Norton en die gaf geen kik

Door nero355, zondag 4 juli 2004 00:37

LOL Volgens mij is het zo dat sinds Schouw @ GoT Moddie is dat iedere Tweaker zowat Kaspersky draait ??

* 786562 nero355

Door Darkraver8, zondag 4 juli 2004 03:53

AntiVir meldt het ook

@ eymey
lijkt me erg onwaarschijnlijk dat Norton het niet meldt en freeware scanners wel. weet je zeker dat ie up2date is?

@nero355
welke Schouw @ GoT Moddie?

Door eymey, zondag 4 juli 2004 14:40

Ik draai Kaspersky meer sinds we op mijn werk ook hierop zijn overgestapt. Het is gewoon een stuk stabieler en betrouwbaarder dan Norton, en je merkt minder performance verlies

Door zalazar, maandag 5 juli 2004 09:19

Met versie 5 is dit helaas anders.
Vooral de real time scanner.
Op e.e.a. manier voert de scanner ontzetten veel checks uit waardoor bij een tragere PC het 5 minuten langer duurt voordat ie is opgestart.

Door Tomba, maandag 5 juli 2004 14:36

CA doet het nog mooier. Ik krijg mooi een melding maar de cmd.exe wordt evengoed gestart

Door |speedy|, zaterdag 3 juli 2004 23:43

Mcafee slaat ook alarm

Door Tigertje, zondag 4 juli 2004 00:26

NOD32 ook

Door eXistenz, zondag 4 juli 2004 09:45

@darkraver8
Norton ziet hem dus echt niet... (2002 helemaal geupdate)

Door Gert, zondag 4 juli 2004 09:59

Niet dat je NAV2002 echt up-to-date kan noemen naar 2004 doet 't ook niet.

Door eymey, zondag 4 juli 2004 14:40

Daarom,

hiero NAV2004. Geeft geen sjoege, totally up to date

Door Mars Warrior, zondag 4 juli 2004 02:41

Gek, maar bij mij zonder patch (Windows 2000 SP4 en IE6) wordt helemaal niks opgestart. Norton grijpt overigens ook niet in...

Door PcDealer, zondag 4 juli 2004 09:19

Als ik de pagina open, zie ik een popup verschijnen. Als ik het laat doorgaan zie ik inderdaad de cmd verschijnen met een pauze. Dit op XP Pro SP1 met alle updates tot en met 3 juli 2004 + IE 6.0.28 SP1.

Als ik het voor de tweede keer doe en de popup meteen afsluit met kruisje, krijgt de eerste pagina een error en gaat het feest niet door.

Zou een popup killer werken?

Door sko, zondag 4 juli 2004 12:14

bij mij geeft Sophos een alert dat het Win32/Psyme-AA virus geinstalleerd wordt op bovengenoemde site..

Door PipoDeClown, zaterdag 3 juli 2004 22:59

hm straks hebben al die bedrijven die ad/spy/keyloggers maken geen werk meer als ms zo door blijft gaan

Door blikkie, zondag 4 juli 2004 01:54

De meeste mensen hier gebruiken denk ik Sophos niet, maar ook die gaf een melding.

Door tigger, zondag 4 juli 2004 10:05

Deze fix heeft niets met de mogelijkheden van ActiveX te maken. Het zorgt er alleen voor dat het component ADODB.Stream niet meer vanuit IE aangemaakt kan worden. Das compleet iets anders.

« 1 2 »

Op dit item kan niet meer gereageerd worden.

22:52	Hevige concurrentie gamesmarkt verwacht tijdens kerst '04
17:30	Chipverkopen blijven groeien: 17,32 miljard dollar in mei

Nieuws I/O

Shortcuts

Categorieën

Gerelateerde content

Reacties

10:37 Nieuws

09:11 Productreviews

11:26 Vraag & Aanbod

25-05 Jobs

09:54 Etc.

11:28 Reacties

11:29 Forum

25-05 Gesponsorde acties

00:16 Tweakblogs

26-05 Computable headlines

25-05 CRN headlines