Software-update: Internet Explorer cumulative patch

Jorn wees ons op een patch voor Microsoft Internet Explorer. Deze patch dicht zes nieuwe gaten in de 5.01, 5.5 en 6.0 versies van de browser:

• A buffer overrun vulnerability affecting the Gopher protocol handler.
• A buffer overrun vulnerability affecting an ActiveX control used to display specially formatted text.
• A vulnerability involving how Internet Explorer handles an HTML directive that displays XML data.
• A vulnerability involving how Internet Explorer represents the origin of a file in the File Download Dialogue box.
• A Cross Domain verification vulnerability that occurs because of improper domain checking in conjunction with the Object tag.
• A newly reported variant of the "Cross-Site Scripting in Local HTML Resource" vulnerability originally discussed in Microsoft Security Bulletin MS02-023.

[break]Voor de US-versie zijn dit de downloadlocaties:

• Internet Explorer 6.0
• Internet Explorer 5.5 SP2
• Internet Explorer 5.5 SP1
• Internet Explorer 5.01 SP2 and SP3 for Windows 2000

En voor de Nederlandse versie:

• Internet Explorer 6.0
• Internet Explorer 5.5 SP2
• Internet Explorer 5.5 SP1
• Internet Explorer 5.01 SP2 and SP3 for Windows 2000

Besturingssystemen	Windows 9x, Windows NT, Windows 2000, Windows XP
Website	Microsoft
Download	http://www.microsoft.com/windows/ie/downloads/critical/q323759ie/default.asp
Licentietype	Freeware

Reacties (9)

[CyberSnooP]

Het TechNet documentje verteld ons o.a.

XML File Handler
* The vulnerability only provides a capability to read XML-based files that they know the complete path to.

Ik blijf het ongelooflijk vinden hoe Microsoft naar al die honderen patches nog steeds niet door heeft dat bestandstoegang onwijs goed gecontroleerd moet worden. Ik kan me bijvoorbeeld voorstellen dat een kwaadwillende website zo even het pad naar jou trillian buddy-file vind en op die manier toch eventjes tien-tallen geldige e-mail adressen verzameld.

Zouden ze bij Microsoft dan echt niet hun ontwikkeltraject op z'n kop zetten en eindelijk eens veiligheid puntje nummer 1 maken?

[mvt]

Nog geen SSL patch dus.
( http://athena.tweakers.net/nieuws/22847?highlight=ssl )

[Bor]

De SSL fout zit ook niet in de browser, maar in het OS zelf getuige eerdere posts op de frontpage. Het is dus wachten op een OS patch ipv IE patch tenzij je deze bedoelt:

http://www.tweakers.net/nieuws/22920?highlight=ssl

[mvt]

Zal wel geen OS probleem zijn, aangezien in het 2e artikel wordt verwezen naar mijn link. Ook bewijst het feit dat oa Mozilla&Netscape 4.* hier geen last van hebben dat het geen OS fout is.

[Verwijderd]

Dat is 't wel. Dat heeft Microsoft recent verklaart.

[Sir_Killalot]

IE6 NL: http://download.microsoft.com/download/IE60/p28_IE/6/W98NT42KMeXP/NL/q 323759.exe

IE 5.5 SP2 NL : http://download.microsoft.com/download/ie55sp2/p28_IE/5.5_sp2/W98NT42K Me/NL/q323759.exe

IE 5.5 SP1 NL: http://download.microsoft.com/download/ie55sp1/p28_IE/5.5_sp1/W98NT42K Me/NL/q323759.exe

IE 5.01 SP2 en IE 5.01 SP3 voor Win 2000 NL: http://download.microsoft.com/download/ie501sp2/p28_IE/5.01_sp2/NT5/NL /q323759.exe

[edit] mijn linkjes had ik eerder gepost dan hierboven

[Verwijderd]

De SSL fout zit ook niet in de browser, maar in het OS zelf getuige eerdere posts op de frontpage. Het is dus wachten op een OS patch ipv IE patch

De hele SSL technologie zit in gewoon in een DLL verwerkt, die door een IE patch ge-update kan worden. Dat is al gedaan met eerdere patches. (Ik dacht in ieder geval met shell32.dll 4.71).

Offtopic: Dat is juist 1 van de grote voordelen van 't werken met DLL's. (Nadeel van werken met DLL's is dat kleuter-programmeurs zonder vragen een DLL overschrijven met een oudere versie, waardoor de beruchte DLL-hell optreed.. niet de fout van Microsoft dus, maar van programmeurs die niet goed weten wat ze doen)

[Robin]

Dan had jij em toch net zo goed kunnen submitten