Nieuwe kwetsbaarheid IE ook aanwezig in XP SP2

Secunia meldt dat een fout in Internet Explorer ervoor kan zorgen dat kwaadwilligen gevaarlijke code kunnen uitvoeren op een systeem. Wat belangrijker is, is echter dat ook systemen die voorzien zijn van SP2 voor Windows XP vatbaar zijn voor dit probleem. Het lek wordt veroorzaakt door een slechte afhandeling van het 'drag and drop'-event waardoor bijvoorbeeld een programma in de opstartmap geplaatst kan worden. De ontdekker van het lek, die bekendstaat als http-equiv, plaatste op zijn website een proof-of-concept. Om niet langer kwetsbaar te zijn kan men in afwachting van een patch Active Scripting uitschakelen.

Reacties (126)

[frickY]

Als ik in de bron kijk zie ik dat het rode vak niets meer is dan een iframe met "src='shell:Startup'".
Dat zou ik haast zeggen dat dit truukje niet werkt op Nederlands (of anders dan Engels)-talige windows installaties.

Als bovenstaande mensen bij wie het lukte even willen melden welke taal install ze hebben.
Ik heb hier een Nederlandstalig W2k installatie, waar het niet werkt.

En overigens..
Ik meen dat als je je 'Security' setting op Normaal of hoger hebt, je sinds IE6 SP1 een melding van IE krijgt dat de site content uit je clipboard probeerd te plakken.

In ieder geval, als ik met mn rechtermuis in 'het rode vak' klik zegt IE braaf 'Het uitvoeren van een systeemopdracht op dit item kan onveilig zijn. Wilt u doorgaan? [ja] [nee]'.

[Verwijderd]

Dit zijn mijn bevindingen:

WinXP Pro NL SP1 : Werkt
WinXP Pro EN SP1 : Werkt
WinXP Pro EN SP2 : Werkt niet*

* Kan niet droppen in het vakje en paste werkt ook niet.

[Verwijderd]

Het werkt hier niet , Win XP Pro SP2 Engels. Ik kan dat icoontje niet erin slepen. Maar als ik bijvoorbeeld mijn winamp shortcut erin sleept dan krijg ik een standaard "Run, Save, Cancel" download boxje.

[blade181]

Ik kan het ding niet slepen en daarbij zit ik ook nog is achter een squid proxy server dus misschien komt het daardoor ook, iig geeft squid aan bij het klikken op de website dat de url ongeldig is....

[peterroelen]

WinXP Pro EN SP1: Werkt niet.
Mijn download accelerator laat wel zien dat ie malware.exe wil downloaden, maar dat heb ik niet toegestaan.

[Zyphrax]

Hier staat een werkend voorbeeld van de drag-drop bug:

http://www.malware.com/wottapoop.html

[DieterDHoker]

Dit voorbeeld is wel grappig als je op een dualscreensysteem werkt, als je de site opent op je primair beeldscherm dan zie je alleen die site met 2 rode balken, open je echter de site op je secundaire display dan zie je rechts in je browsers 1 rode lijnen, maar links een gewone explorerfolder, op je eerste beeldscherm zie je dan nog de float die over die folder moet komen om hem te verbergen. Lijkt me dat ze hun javascript nog moeten aanpassen zodat die float ook de juiste positie kiest bij 2 schermen

[mvengelenburg]

Wow dit is echt een heel smerige manier. Ik heb SP1 en hij werkt wel degelijk. Dit smeekt om radmin achtige grappen...

[Tovenaar]

hmmm.. Wel erg simpel om een systeem om zeep te helpen... Werkt hier prima met XP SP1...

[Haaguit]

Misschien was SP2 al te ver in de final om deze bug nog te verwerken. Het is niet even een stukje code erbij zetten, maar zo'n wijziginge kan een grote impact hebben op de rest van de SP. Het testen zou misschien onnodig veel vertraging geven, en hebben ze de afweging gemaakt om het niet op te nemen.

MS is er, ondanks wat sommigen denken, echt niet op gericht een onveilige pc te leveren. Ze zullen dus best zsm een oplossing bieden. Als ik de acties zie die je moet doen om de bug te activeren, dan denk ik niet dat het bij de modale gebruiker zo enorm snel voor zal komen.

[Verwijderd]

Echt een security bug kan ik dit niet noemen. Dit is hetzelfde als op de link klikken, bestand downloaden en dan uitvoeren. I.p.v. op het bestand te klikken om te downloaden sleep je het nu naar je bureaublad toe.

Het komt pas in je startup folder als je erop klikt (bij mij) dus hij voert het bestand pas uit wanneer je daarom vraagt.

Wat krijgen we morgen te lezen? "XP SP2 onveilig, het is mogelijk om met 2 muisklikken een onveilig programma te instaleren."?

edit:

@Ik zie niet in wat SP2 hiermee te maken heeft.

Er wordt blijbaar alles geprobeerd om SP2 lek te laten lijken. 3de bericht waar gezegd wordt dat er een bug in SP2 zit terwijl dat niet specifiek voor SP2 is (als het uberhaupt bugs genoemd kunnen worden).

[wmvink]

Als slepen niet lukt, doe het volgende:

selecteer het rooie plaatje
rechtermuisknop > Copy
ga naar venstertje
rechtermuisknop > Paste

Klaar. Zie je Start-up folder.

[RAJH]

Als ik dat doe krijg ik toch echt een leuke melding van Internet Explorer:

"Running a system command on this item might be unsafe. Do you wish to continue?"

Lijkt me dus niet altijd te werken die exploit.

[Jeroen 98675432]

Dat Copy/Paste werkt hier niet (XP SP1) maar een icoontje vanaf m'n bureaublad in het rode vlak slepen werkt wel!

edit:
@CipherSF: US English XP versie

[macnerd]

Drag 'n drop werkte niet, maar kopiëren en plakken wel. Ik kreeg daarbij wel een melding dat ik mogelijk iets onveiligs ging doen.
Edit: even vergeten te vermelden wat ik hier gebruik, dat is Windows 2000 en IE 6.0.

By the way: wat vind Shell van het gebruik van hun merknaam in de url shell:startup?
Er zijn overigens nog andere mogelijkheden, shell:desktop werkt bijvoorbeeld ook.

[Verwijderd]

Denk niet dat Shell veel kans maakt hier bezwaar tegen te maken aangezien het woord lang voordat de oliemaatschappij bestond al de volgende betekenis had:

4 : something that resembles a shell: as a : a framework or exterior structure (bron: britannica)

En ik denk niet dat je je veel zorgen moet maken dat dit ook voor je desktop folder gebruikt kan worden als ze een willekeurig programma direkt in je startup folder kunnen pleuren die dus zonder dat je het door hoeft te hebben daarna iedere keer met Windows worden opgestart.

[Basszje]

Wind 2k Prof meldt netjes dat het niet toegestaan is shell scripting te gebruiken vanuit je browser

Gewoon een kwestie van goed je permissies instellen dus

[LtMarx]

Euhm... Bij mij deed hij het dus wel... Zo goed dat ik hem nu niet mag deleten omdat 1 of ander programma het malware dingetje in gebruik zou hebben.

[keken]

Bij mij hetzelfde probleem, kom er met geen mogelijkheid meer vanaf

[Wildfire]

Ik heb de oplossing een paar berichten terug al gepost.

Om de een of andere reden houdt EXPLORER.EXE het bestand in gebruik waardoor het niet gewist kan worden. Kwestie van EXPLORER.EXE unloaden en via een vantevoren geopende command-prompt even het bestand wissen.