Na patch toch nog een bug in Outlook (Express)

Na de bugmelding van afgelopen week is het nog steeds mogelijk met een gemanipuleerde header van een email- of nieuwsbericht Outlook (Express) aan te zetten tot "ongewenst gedrag".

Planet Multimedia bracht vandaag namelijk het nieuws dat een systeembeheerder een manier had gevonden om Outlook (Express) direct bij het openen van een bericht door te sturen naar een bepaalde site waar bijvoorbeeld Java- of Perl-scripts uitgevoerd kunnen worden. Het bewijs is geleverd doordat er in de nieuwsgroepen nl.beurs en nl.telecom zo'n bericht is geplaatst waarna er op de site waarnaar werd doorverwezen binnen 7 uur 2000 bezoeken geregistreerd werden.

Een zeer simpel window.open scriptje is direct aan de header gehangen waardoor Outlook (Express) de opgegeven pagina opent. Het is nog net niet zo dat je het met een berichtje uit Outlook (Express) kan repliceren.

Nadat de redactie belde met enkele technisch mensen van Microsoft en hen de beruchte mail toestuurde werd het geval wel onder de loep genomen en liet men weten: 'Wij nemen deze melding zeer serieus en zullen proberen dit mogelijke euvel zo snel mogelijk op te lossen.' Het probleem wordt samen met ontwikkelaars in Redmond, Amerika uitgezocht.

Azqi, bedankt voor de tip!

Reacties (45)

[De Sjeik]

sap[pie! ik doe een programmeer opleiding en ik vertel je. niets is moeilijker dan waterdicht programmeren. vooral als het in c++ is of zo.. (das outlook toch ook?) en dan een aanpassing maken is al helemaal moeilijk omdat er weinig structuur in c++ te herkennen is (vind ik) verder zullen dit wel niet de makers zijn die dit gaan aanpassen en wie weet zijn vorige patches niet gedocumenteerd.
zo kan zoiets simpels nog erg moeilijk worden hoor!!

[BikkelZ]

Ach kom op!

Plain text = Plain text

-Is tekst onleesbaar als het niet in HTML opgemaakt is?
-Heb ik scripts nodig in mijn berichten?
-Moet er in een header iets anders dan server/gebruikersgegevens staan wat wellicht ten uitvoer moet worden gebracht?

Ik ben dan wel geen programmeur, maar volgens mij is het makkelijker om een 'old skool' plain text geen scripts mailclient te maken dan eentje met "al die fantástische mogelijkheden!"

Ook een adresboekje moet geen problemen opleveren mits de gebruiker (hét securityleak van de afgelopen decennia) geen attachment opent van dubieuze oorsprong. Daar valt niet tegenop te patchen!

[Aaargh!]

De vorige bug had NIETS met scripting te maken en zou ook kunnen voorkomen als je alleen plain-text mailtjes accepteerd.
wat er n.l. gebeurt is dat er een X aantal bytes geheugen word gereserveerd voor gegevens die je binnenkrijgt. (b.v. dat header veld) als het programma vergeet te controleren of de input meer is dan het X aantal gereserveerde bytes dan word alles wat boven dat X aantal bytes staat buiten het gereserveerde gebied geschreven, en kan dus een deel van het programma overschrijven. als je op die plek in de invoer nu code zet die de processor begrijpt dan word een deel van een het programma met jouw code overschreven en zal jouw code op die plek worden uitegevoerd.

[BikkelZ]

Hmmm ja dat is eigenlijk de beproefde methode, niet? Dit wordt volgens mij al jaren gedaan met allerlei programma's, ik zou haast zeggen dat het een soort standaardexploit is.

Ik kwam ooit iets tegen waarbij je honderden regels code kon toevoegen in een header. Ik ging er alleen van uit dat die regels code script waren die werden getriggerd maar het blijkt dus te gaan om het overschrijven van geheugenplaatsen die van het programma zijn.

Dat lijkt mij nogal een secuur karweitje.

[Aaargh!]

Isset ook, daarom gaat 't ook zo vaak fout
niet alle talen hebben hier last van, b.v. Java zorgt zelf dat het allemaal goedkomt.
maar het heeft ook voordelen voor de programmeur.

[VlasBaard]

Bullshit.
Alle bugs in OE komen van scipting. Heb je wel eens getelnet naar poort 110 ? (de mailport)
Het POP-protocol is echt te simpel voor woorden.
Alleen moet je geen Windows-based of scripting willen dan want dan wordt het in feite een browser en niet een mailprogramma.

Iedereen die HTML in email gebruikt zou eigenlijk geen email moeten mogen gebruiken. Dood aan HTML in mail.

Oh ja: in de header staat nergens hoe groot een bericht is. Dat kan je wel opvragen met list maar dat is NIET de header. Daar kan je dus niet mee sjoemelen want dat wordt gewoon door je mailserver bepaald.

En dan nog, zelfs al stond de grootte wel in de header, dan moet je ter grootte van wat de header zegt lezen en nooit zomaar 'inlezen totdat het op is'.

[Roland684]

En ik heb Hogere Informatica afgerond en studeer nu verder aan de TUE.
In ieder goed programmeerboek staat dat je invoer van buitenaf (gebruikers of van internet) nooit blindelings moet vertrouwen. Ook als je een html-formulier maakt met een veld waar maximaal 15 karakters in kunnen moet je er niet zomaar vanuit gaan dat je nooit meer dan 15 karakters krijgt, zoiets is namelijk erg makkelijk te vervalsen. Zo is ook er klakkeloos vanuit gaan dat in een datumveld van een e-mail (dus van buitenaf) alleen een datum staat, gewoon een domme fout. Dit soort fouten worden al jarenlang gebruikt om systemen te hacken.
Microsofts fouten hebben niets met "programmeren is moeilijk" te maken maar zijn gewoon domme fouten die gemaakt worden als je jezelf niet bedenkt waar je nu mee bezich bent. Een prototype mag dit soort fouten nog wel bevatten, maar als je weet dat je programma door miljoenen mensen gebruikt gaat worden mag je er toch wel wat meer aandacht aan besteden.

[@r!k]

Ze doen hun uiterste best om een goed en makkelijk os op de markt te brengen en daar software bij te maken die hier heel efficient mee omgaat. Het enige prbleem is dat er bedrijven zijn die beter windows applicaties kunnen schrijven dan microsoft dat kan. Hoe denk je dat microsoft aan NT is gekomen. Hebben ze echt niet zelf ontwikkelt hoor. Ze hebben de architectuur van vms overgekocht maar moesten even de naam veranderen. VMS daar hebben ze van elke letter de volgende gepakt en kwamen zo op WNT. Oftewel Windows New Techology. Nu is het een behoorlijk stabiel os en zul je me echt niet horen klagen over nt maar het is wel zo dat het voor microsoft gewoon heel moeilijk is om alle features in het os te houden, de applicaties veilig te houden en nog eens compleet bugvrij te maken.

Ze doen hun best maar hun nadeel is dat de bugs die uitkomen vaak van dit soort bugs zijn. Nou is het vrijwel onmogelijk om het os bugvrij te maken. Dat gaat gewoon niet wnat er zijn zoveel developers die er voor schrijven en de een is de ander niet.

Maar ze doen hun best en dat vind ik belangrijker dan wanneer het helemaal toppie in orde is maar als je ergens mee zit dat je helemaal geen support krijgt. Denk aan de MS knowledge base.

[Verwijderd]

Ze hebben de architectuur van vms overgekocht maar moesten even de naam veranderen

Dat is wat overdreven gesteld. Ze hebben het ontwikkelteam wat ooit ook VMS heeft ontwikkeld vrijwel geheel overgenomen. Die zijn Windows NT gaan ontwikkelen wat er (natuurlijk) toe geleid heeft dat er veel overeenkomsten zijn, zowel in terminologie als in architectuur.

Wim
--
www.win2kwereld.nl

[EfBe]

Je vergeet dat er meer dan 100 mensen werken bij MS (zo'n 30.000). De ontwikkelteams van de verschillende producten zijn niet echt geintegreerd, dwz: de mensen van SQLserver werken aan SQLserver en niet aan NT. Die zijn dus afhankelijk van wat er door de NT club wordt aangeleverd. Dit houdt dus OOK in dat de focus op welke wijze een bepaald probleem op te lossen per club verschilt. Tegenwoordig zijn bijna alle producten wel gestandaardiseerd en lijken ze toch allemaal nu wel dezelfde filosofie te volgen, maar dat is lang niet zo geweest.

Dat jij loopt te zeuren over NT is niet door MS ontwikkelt maar door de VMS club is niet juist. Ten eerste offtopic, en ten tweede is NT van de grond af opnieuw ontworpen en gebouwd. Ontworpen deels door dezelfde ontwerper als VMS en deels ook geprogrammeerd (althans versies tot 2.0, nooit gereleased) door de VMS club van dec (zo'n 100 man, die ontslagen werden door Dec en zijn overgenomen door MS om Cuttler, ooit baas van die 100 man, te helpen).

Verder zijn er te veel troll opmerkingen in je offtopic posting. Ik snap niet echt wat je punt is. Als je iets constructiefs te klagen hebt, formuleer dat dan wat beter, want nu lijkt het er op dat je via outlook crap naar NT-VMS gezeur bij de knowledgebase uitkomt (die niet goed werkt oid?).

[BikkelZ]

NT heeft ook onderdelen van OS/2 aan boord, aangezien MS daar met IBM aan heeft gewerkt. Ik denk niet dat je een OS van de grond af aan kunt ontwerpen van die orde van complexiteit als Windows NT.

Windows NT heeft zelfs "DOS underpunnings"
(degenen die wel eens op het arstechnica forum komen weten waar ik het over heb)

[EfBe]

offtopic:
Mja, IBM en MS werkten samen aan het 'full 32bit OS' en dat is op een gegeven moment gestopt en beide kampen zijn verder gegaan met wat ze hadden overgehouden van het gezamelijke project. Cuttler heeft wel degelijk alles opnieuw gedesigned. Zo moeilijk is het niet hoor, en zeker niet voor iemand als Cuttler die dat al vaker had gedaan. NT is een microkernel architectuur en zolang je maar langer dan 3 minuten nadenkt over je virtual subsystems is het niet onoverkoombaar.

Ik kom niet op arstechnica forums dus wat is "DOS underpunnings"? Een 'bewijs' van een 16bit kernel in NT? ROTFL

[BikkelZ]

Dat is een van de uitspraken van David K. Every bij The Battlefront (het lijkt me sterk dat die naam je niks zegt ). Na wat geflame bracht ie het terug tot zoiets als "ja maar de command prompt werkt nog steeds zoals in DOS en je sluit je programma's af met alt-F4".

LOL

[P5ycho]

De mailinglist van Alternate doet ook zoiets, maar dan niet alsie binnenkomt en ingelezen wordt maar als je de mail aanklikt. Zeer frustrerend. heb me maar snel unsubscribed.

[De Sjeik]

servaas. hoe kan je als je alleen bij een object kan komen met een stuk of 100 pointers naar pointers naar characters en weet ik veel wat gestructureerd proggen? dat is HEEL moeilijk!!! en visual c++ ken ik niet maar met c++ kan je ook al de code zien hoor!!!

en je zegt het zelf al.. je kan de weg makkelijk kwijtraken.. en outlook is niet zo'n klein proggie dus er zijn VEEL wegen die je kan inslaan en probleem is.. er is er maar 1 goed!! zou niet in de schoenen van die programmeur willen staan nu, over paar jaar wel.. hhmm MUCHAS DOEKOE!!

[mth]

Goede programma's schrijven is moeilijk, maar het is wel degelijk mogelijk. En je hoeft er ook geen genie voor te zijn, er zijn behoorlijk wat methoden ontwikkeld om bugs te voorkomen.

Pointers naar pointers, het kan wel, maar het lijkt me vragen om problemen. Een enkele pointer naar een object is toch genoeg? Als je netjes omgaat met objecten dan kun je best gestructureerd programmeren in C++. Doe gewoon alsof je Java programmeert

Er zijn trouwens talrijke manieren om een probleem op te lossen, er is heus niet slechts 1 juiste. Heel simpel voorbeeld: als de specificatie zegt dat ik de getallen A en B moet optellen, zijn "A + B" en "B + A" beide even goede oplossingen.

[Verwijderd]

Wel grappig dat plots een hoop mensen zich beginnen te bemoeien met de programmeer afdeling van MS. En in dit geval natuurlijk de mensen achter MS Outlook (express).

Tuurlijk is het zo dat applicaties die dienen te werken met een internetverbinding extra veilig gemaakt dienen te worden, maar door de hele structuur van Windows 9x en zijn gebruikersdoel is dit bijna onmogelijk.
Microsoft moet afwegingen maken omtrent een werkbaar OS met werkbare standaard applicaties en de gebruiker.
Over het algemeen kunnen de applicaties van Windows door een man van 80 met enige intresse in computers nog worden gebruikt. Dit is niet waar met de meeste applicaties onder un*x-en.
Hiernaast willen de "simplex"-gebuikers ook "te"-veel.
"Waarom kan dit en dat niet?" - Hierop reageert MS, waarna de "kwade" programmeurs beginnen.

Naar mijn mening moet je inderdaad keuzes maken, en MS heeft voor andere opties gekozen als een security freak zo doen, maar hiernaast blijken ook veel gebruikte deamons onder bv. linux steeds problemen geven. Ik heb geleerd dat bv. WU-FTP onder Linux een troetelkindje blijft.

Dus maak een keuze wat je wilt en schop iedere hacker die je ziet maar voor z'n ......... (in te vullen naar wens)

Rick

[HermeS]

voor de mensen die wat dieper op de materia in willen gaan, en weten wat er nou precies aan de hand is: de link www.fect.nl/out/ login is 1 en pass = l
hoe je het kunt toepassen :
www.ussrback.com/labs50.html

[Verwijderd]

OPLETTEN,

mensen dit artikel is fake, dit probleem is direct na ILOVEYOU gefixt. als je de securtiy patch van augustus 1999 op je machien zet heb je hier geen last meer van. Ook als je scripting uitzet door naar tools, options, security, restricted zone te gaan ben je hier vanaf.

ophouden met zeiken dus als je er geen verstand van hebt.

op W2000 zou je moeten wachten op SP1 (27 juli) of teruggaan naar IE5.0 SP1 met de patch...

Microsoft roeleert stevig!

[Verwijderd]

Quote van Wim van een paar dagen terug.

patch available at:
www.microsoft.com/windows/ie/download/critical/patch9.htm

Perform a default installation of Internet Explorer 5.01 Service Pack 1 at:
www.microsoft.com/windows/ie/download/ie501sp1.htm

(als je dan vanuit de map \Windows Setup Files\ de bestanden vist, kan je de installatie eventueel vaker doen)

Perform a default installation of Internet Explorer 5.5 at:
www.microsoft.com/ie/download/ie55.htm
PAS OP met installatie van IE5.5 op W2000 Professional, dit zou ernstige problemen opleveren.

More information is available in Technet nowledge Base article Q267884.

[EfBe]

DIT is geen BUG

Ik heb het scriptje ook gezien. Wil je dat niet meer? Tools -> options -> security en click 'restricted sites zone' aan.

Ga naar IE options, security, click op restricted sites dan op custom level... eronder en selecteer alle opties die OE moet uitvoeren bij een newsitem of mailitem, want die vallen nu in deze zone.

Het is dus gewoon te configureren. Als men dat nalaat (dit kan volautomatisch worden gedaan met de IEAK sdk, dus systeembeheerders moeten niet gaan gillen dat 3000 werkplekken instellen wat veel werk is), is het niet de schuld van het programma maar puur van jezelf.

Planet Multimedia e.d. allemaal aardig, maar meer dan versterken van hype en pulp doen ze niet.

NEXT!

[VlasBaard]

Nou ik heb het geprobeerd.. het hielp geen donder. Moest dat mailtje echt met telnet 110 weghalen, want OE crashde elke keer dat hij probeerde dat mailtje te halen (zie de link van HermeS).
Nu es kijken op 5.01SP1 wel werkt... inderdaad dat helpt wel... alleen heb ik nu een US IE en OE op een NL windoos... irritant want dan is de helft engels en de helft nederlands

[Verwijderd]

Het is voor mij een standaard procedure, om als ik een nieuw stukje software zie even 500kb junk in de headers/velden/login/ te zetten krached de software dan heb je met een bufferoverflow te maken en deze zijn SOMS te gebruiken om de rechten van het programma over te nemen.

Voor meer informatie lees bugtraq/ntbugtrq en de artikelen van aleph 1.

Groet. Herman

[Verwijderd]

Als je goed oplet heb je nooit last van dit soort virussen, je moet geen .vbs bestanden openen als attachment. Bovendien zie je aan het icoon dat het geen tekstbestand is!
(ik haat virussen!)

[VlasBaard]

Ja maar deze opend zichzelf dus zodra hij wordt opgehaald
(daar gaat deze hele discussie over... slimmerd)

[Verwijderd]

Wat ik nu niet begrijp en voor een deel ook voor deze problemen zorgt, is waarom ik Outlook 98 (en mogelijk ook andere versies) wel kan vertellen dat 'ie m'n mailtjes in plain text moet versturen, maar niet kan vertellen dat 'ie mailtjes in HTML moet wijgeren of omzetten naar plain text. De shit die ik bij anderen probeer te voorkomen door opzettelijk geen HTML mail te versturen kan ik bij mezelf niet voorkomen!

Daar is lang en diep over nagedacht zullen we maar zeggen (not ).