Nieuwste Opera bevat veiligheidsfouten

Webwereld meldt dat beveiligingsexperts vijf nieuwe lekken in Opera 7 hebben ontdekt. De lekken in de vorige week geïntroduceerde browser zijn aan het licht gebracht door het Israëlische bedrijf GreyMagic Software, een bedrijf dat in het verleden diverse onvolkomenheden heeft ontdekt in Internet Explorer van Microsoft. Drie van de vijf lekken zijn gebaseerd op een zogenoemde file browser, waarbij de aanvaller de mogelijkheid krijgt om de harde schijf van het slachtoffer te bekijken.

Volgens GreyMagic hebben de lekken, die volgens hun zeer ernstig zijn, te maken met de manier waarop Opera plaatjes en JavaScript behandelt. De overige twee lekken kunnen voor een inbreuk op de privacy zorgen omdat deze een website de mogelijkheid geven om de geschiedenis van de bezoeker op te vragen. Het Noorse Opera is vrijdag op de hoogte gesteld van de veiligheidslekken en komt deze week nog met een nieuwe versie van zijn browser.

Reacties (31)

[YoMarK]

Opera 7.01 is al even uit. Die lost die security issues op.

[Anoniem: 61293]

Geluk bij een ongeluk, zullen we maar zeggen. Het is natuurlijk zeer vervelend dat deze fouten in de software zaten, maar het siert Opera Software wél dat ze binnen 24 uur met een fix komen. Dat laat naar mijn idee toch héél goed zien hoe de Noren met de veiligheidszaken van hun browser omgaan.

[MossMan]

Ik moet zeggen dat ik dit een behoorlijk overbodig Tweakers melding vond...

Gaan ze zeggen dat de nieuwste Opera security bugs heeft zo'n ZES UUR NA dat Opera de bugfix versie al uitgebracht had!

Niet erg eerlijk tegenover Opera.

[Boxed]

Dat er hatelijke opmerkingen over IE worden geplaatst is meestal het gevolg van de antipathie tegen microsoft (soms redelijk opgeblazen, soms terecht) Maar vooral omdat het zo ontzettend lang duurt voor er een patch voor wordt uitgebracht.

In dit geval van opera is de patch er al als het nieuws net op internet staat. Er kan dus weinig gebruik wordne gemaakt van deze bug.

[Anoniem: 35352]

In dit geval van opera is de patch er al als het nieuws net op internet staat

Die info van GreyMagic stond al een paar dagen op het web hoor, maar de patch was er inderdaad ook al snel...

[Anoniem: 64943]

En binnen 24 uur is de fix er al.

ftp://ftp.opera.com/pub/opera/win/701/en/

[jota]

Changelog for Opera 7.01 for Windows

We recommend that you download and install this upgrade.
Opera 7.01 Changelog

This version fixes some security and privacy issues reported by Grey Magic that were present in Opera 7.0.
Security fixes

1. Remote access to local content
* In a cross-domain attack, functions in one document could be replaced with functions from another document and domain
* This could allow page and system content to be read
2. Remote access to local content
* In two similar cross-domain attacks, JavaScript code could be inserted into documents in the FILE domain
* This could allow system content to be read

Privacy fixes

1. Part of browsing history could be accessed
* Insecure property on history object
* This could allow the next and previous URLs in a document's window to be read by documents not authorized to see them
2. Part of browsing history could be accessed
* Content of JavaScript console could be read from another document
* This could allow URLs that had script failures to be read

Miscellaneous

* Fixed some stability issues
* Help files updated

[Semt-x]

Dit lijkt me volledig volgens verwaching. Ligt ook voor de hand dat het niet bij deze 5 bevindingen zal blijven. Perfecte software betsaat (nog?) niet.

Aan de andere kant vraag ik me af of het wel zo risicovol is. De browser wordt niet zo veel gebruikt en om nou een site te bouwen die precies van die gaten gebruikt maakt. zou mij te veel moeite zijn.
Zeker als je bedenkt hoe interessant het is om de bestanden van iemand die je niet kent te lezen. Je kan misschien een naam en adres uit halen en nog wat andere gegevens. Het lijkt een beetje op het bladeren in een telefoonboek. Daar zie je ook zomaar wat persoonlijke gegevens staan van mensen die je niet kent.

Zeker bij weinig gebruikte browsers lijkt me dit soort lekken niet spannend.

[Aham brahmasmi]

Ik ben zelf eigenlijk ook erg enthousiast over Opera 7, maar ik ben ondanks de snelheidswinst toch maar teruggegaan naar NetCaptor. Er zitten voor mij toch nog teveel onvolkomenheden in O7. Bij NetCaptor (IE met O7 functionaliteit) komt het niet vaker voor dan eens in de paar maanden ofzo dat ik een vastloper krijg of last heb van eoa bug. (Ander dingetje wat ik irritant vind aan O7, is dat als je een paar pagina's open hebt staan en je opent O7, dat ze dan wel geladen worden maar niet gerefreshed. De inhoud van het moment dat je O7 afsloot wordt dus weer weergegeven, en niet de nieuwste headlines van t.net bijvoorbeeld.)

[Marger]

Dan doe je even CTRL-F5 (reload all pages) en klaar

[Anoniem: 35352]

Of die pagina's herladen worden of niet hangt af van de cache-instellingen, vermoed ik...?

[LostboyArno]

Volgens de gemiddelde tweaker is Opera je van het. Maar net als IE heeft het bugs die (net als bij IE) altijd snel opgelost worden. nu zie ik alleen geen hatelijke opmerkingen die je bij IE wel zou zien.

[Anoniem: 48534]

Dat er geen hatelijke opmerkingen worden gemaakt komt misschien ook wel doordat Microsoft altijd erg hoog van de toren blaast.

Daarnaast: Hoge bomen vangen veel wind!

Dat maakt onterechte kritiek natuurlijk niet ineens erg slecht.

Mag ik verder opmerken dat ook in Apple's browser Safari vrijwel onmiddellijk na de introductie ook wat security-bugs werden gevonden? Ook erg snel gefixt door Apple, maar ik wil wel even aangeven dat het blijkbaar niet alleen voor Opera en Microsoft moeilijk is de real-life security op peil te houden.

[Anoniem: 48679]

niet echt erg toch? Apple's Safari is momenteel nog maar een public bèta, daar accepteert men zo'n dingen best...

software als IE, die als stable gezien wordt, waar nog 12 veiligheidslekken in openstaan?? vind'k net dat beetje slechter.

maar ik mekker niet op IE, gebruik het enkel om eigen sites te testen...had liever gehad dat ze wat meer standaarden volgden, daar was Opera7 best in te pruimen....

[jurrie]

het is maar wat je snel noemt.Als je http://www.pivx.com/larholm/unpatched/ bekijkt, zie je dat er in IE nog 19 unpatched vulnerabilities zitten, waarvan de oudste bevestigde vulnerability nog van 3 Januari 2002 is..

[pven]

* 786562 pven

[Anoniem: 61293]

Opera 7 is helemaal opnieuw vanaf de grond opgebouwd en is dus geen evolutie vanaf Opera 6. Het is daardoor zeer onwaarschijnlijk dat deze fouten ook al in Opera 6 zaten.

Bovendien denk ik dat de bug hunters dit soort fouten in Opera 6 allang hadden gevonden en dat Opera Software ze allang had gefixt.

De Noren hebben een zeer goede reputatie als het gaat om beveiliging en het zo snel mogelijk oplossen van beveiligingsproblemen als die zich voordoen. Kijk maar naar versie 7.01, die nauwelijks 24 uur na het bekend worden van de beveiligingsfouten werd uitgebracht.

[Anoniem: 74553]

Nu vraag ik me af, waarom laat Opera haar browser niet voor de release testen bij een aantal van dergelijke bedrijven? Of is dat dan te kostbaar?

[Anoniem: 35352]

Als je zoiets voor de release wil laten testen, zal dat inderdaad behoorlijk wat geld kosten (daar leven bedrijfjes als GreyMagic immers van), en je krijgt er geen garantie voor terug dat het dan ook effectief veilig is.

[Skyclad]

Ze vroegen zich af waarom Microsoft software zo populair is, en besloten ook een poging te wagen dezelfde kwaliteit te maken