1.
"
Nie cofać!
Nawet dla stałych czytelników listy mailingowej BugTraq - miejsca, w którym stale pojawiają się zgłoszenia o nowo odkrytych "dziurach" w zabezpieczeniach - niespodzianką było odkrycie Andreasa Sandblada. Szwedzki tropiciel błędów twierdzi bowiem, że niebezpieczny może być... przycisk Wstecz przeglądarki Internet Explorer. Źródłem nowego zagrożenia jest błąd polegający na uruchamianiu przez przeglądarkę kodu JavaScript umieszczonego w adresach URL znajdujących się na liście odwiedzanych stron
WWW.
Ponieważ kod ten dysponuje tymi samymi uprawnieniami co ostatnio wyświetlana witryna, odpowiednie "przeprogramowanie" owej listy i skierowanie użytkownika na nieistniejący adres (co z reguły prowadzi do wyświetlenia lokalnej strony z komunikatem błędu oraz do naciśnięcia problematycznego przycisku) może spowodować wykonanie tak niebezpiecznych czynności, jak udostępnienie plików osobom niepowołanym czy uruchomienie dowolnego programu, np. formatującego dysk twardy. W witrynie BugTraqa znajdują się dwa przykłady ilustrujące "skuteczność" opisanej metody - jeden z nich uruchamia grę Saper, drugi zaś - odczytuje zawartość plików cookie.
Autor raportu sprawdził istnienie wspomnianej "dziury" w przeglądarce Internet Explorer 6.0 pracującej w systemie Windows XP i 2000 Pro, co jednak nie wyklucza jego obecności w innych konfiguracjach oprogramowania. W obecnej chwili brak jakichkolwiek łat na przeglądarkę, choć o całej sprawie Microsoft wie od listopada 2001 roku. Jako tymczasowe zabezpieczenie proponowane jest wyłączenie w ustawieniach przeglądarki aktywnych skryptów lub unikanie korzystania z przycisku Wstecz."
2.
"
Skrypty niepotrzebne
Najgroźniejsze z dotychczas poznanych "dziur" w programach Microsoftu pozwalały zaatakować komputer ofiary przez wykorzystanie odpowiednio spreparowanych skryptów. Tymczasem pokazano właśnie, jak przejąć kontrolę nad obcą maszyną nawet przy wyłączonej obsłudze aktywnych skryptów i ActiveX.
Metoda zaprezentowana przez izraelskiego specjalistę od zabezpieczeń pozwala na zdalne uruchomienie dowolnych programów i poleceń za pomocą prostego kodu XML. Na atak narażeni są użytkownicy Internet Explorera, Outlooka i Outlook Expressa - wystarczy, że używany przez nich program spróbuje wyświetlić "specjalny" fragment kodu łączący obiekt źródła danych (DSO) z dokumentem HTML.
W chwili obecnej brak jest oficjalnych łat, które z powrotem zabezpieczyłyby wymienione oprogramowanie, a jedyne znane obejście związane jest z modyfikacją Rejestru i poważnymi utrudnieniami podczas przeglądania witryn internetowych.
link:
http://security.greymagic.com/adv/gm001-ie/"
3.
"
Jedna więcej
Kolejną poważną "dziurę" przeglądarki Internet Explorer odnalazł badacz zabezpieczeń Thor Larholm. Informuje on, że niebezpieczne mechanizmy obsługi języka JavaScript pozwalają obcym witrynom internetowym na przejęcie władzy nad przeglądarką oraz całym systemem operacyjnym. Co gorsza, błąd ten działa również we wszystkich programach korzystających z mechanizmu wyświetlania stron programu IE, takich jak Outlook, Outlook Express czy Eudora.
Okazuje się, że to popularne narzędzie zezwala na wykorzystanie jednej ze zmiennych o nazwie window.dialogArguments (towarzyszy ona formularzom w automatycznie otwieranych oknach dialogowych) do umieszczenia dowolnego kodu w "bezpiecznym" oknie przeglądarki. Nieproszony program z reguły dysponuje wszelkimi uprawnieniami użytkownika i może wykonać dowolną operację - od kradzieży danych po ich zniszczenie.
Choć odkrywca błędu uważa, że dotyczy on jedynie przeglądarki Internet Explorer 6.0, izraelska firma GreyMagic Software znalazła sposób na jego wykorzystanie również w wersjach 5.x. Microsoft zna opisywany problem od 18 marca br., jednak do tej pory nie opracowano skutecznej "łaty". Tymczasowymi proponowanymi użytkownikom rozwiązaniami są wyłączenie aktywnych skryptów w przeglądarce lub przesiadka na produkty konkurencji."
4.
"
Łata pilnie potrzebna
Użytkownicy przeglądarki Internet Explorer mają kolejny powód do zmartwień - jak donosi niemiecki CHIP, wszystkie wersje tego programu mają błąd w zabezpieczeniach związanych z obsługą języka JavaScript.
Haker podpisujący się literami tSR z grupy Flash Security ogłosił za pośrednictwem listy dyskusyjnej Bugtraq, że odpowiednio skonstruowane wywołanie funkcji settimeout() jest w stanie "zakończyć" działanie programu Internet Explorer. Co więcej, "padająca" przeglądarka pociąga za sobą wszystkie aplikacje bazujące na Explorerze, takie jak Microsoft Outlook.
Obecnie nie wiadomo, czy internetowi agresorzy będą w stanie wykorzystać usterkę do poważniejszego uszkodzenia atakowanej maszyny. Do czasu opracowania przez Microsoft stosownej poprawki zaleca się wyłączenie obsługi języka JavaScript."
5.
"
Dziurawe ciasteczka
Firma Microsoft ostrzega przed skutkami błędu, jaki niedawno odkryto w przeglądarce Internet Explorer. Okazuje się, że użytkownicy wersji 6.0, 5.5 i prawdopodobnie także wcześniejszych, narażeni są na podglądanie ich prywatnych informacji zapisanych w plikach cookie.
Internetowi włamywacze posługujący się odpowiednio spreparowaną witryną lub e-mailem mogą wykorzystać wspomniany błąd do uzyskania takich danych, jak hasła czy numery kart kredytowych. Ten sam błąd umożliwia hakerom również zmianę zawartości plików cookie, co na razie raczej nie stanowi poważniejszego zagrożenia.
Producent oprogramowania obiecuje szybkie opracowanie skutecznej "łaty" naprawiającej usterkę. Do czasu jej powstania Microsoft zaleca użytkownikom wyłączenie opcji aktywnych skryptów oraz ograniczenie liczby witryn, z którymi może się komunikować program Outlook Express."
6.
"
Georgi Guninski - znany tropiciel błędów w oprogramowaniu - opublikował kolejne ostrzeżenie dla użytkowników przeglądarek Internet Explorer 6.0 i 5.5. Okazuje się, że uaktualnione wersje wspomnianych programów umożliwiają odczytanie plików z dysku lokalnego atakowanej maszyny, co z kolei może doprowadzić do uruchomienia "niepożądanych" aplikacji i zagrozić bezpieczeństwu komputera.
Jak informuje dociekliwy Bułgar, odkryty przez niego problem dotyczy funkcji GetObject(), dostępnej dla programów w języku JavaScript. Wystarczy w jej wywołaniu użyć odpowiednio spreparowanego adresu URL, by wspomniana funkcja "oddała" zawartość wskazanego pliku. Zgodnie ze swym zwyczajem Guninski najpierw poinformował o swych odkryciach Microsoft, a po trzech tygodniach - pomimo braku odpowiedniej łaty - resztę internautów. Zalecanym przez niego rozwiązaniem opisywanego problemu jest wyłączenie (w opcjach internetowych systemu) aktywnych skryptów "raz na zawsze" bądź też niekorzystanie z Internet Explorera we "wrogich" środowiskach, takich jak... Internet."
7.
"
Serek szwajcarski
Jak informuje serwis Computer User, w firmie Microsoft trwają prace nad załataniem kolejnej bardzo poważnej "dziury" w przeglądarce Internet Explorer. Tym razem niedoskonałe zabezpieczenia programu umożliwiają hakerom przesłanie na komputer ofiary dowolnego programu oraz jego uruchomienie. Wystarczy tylko, że któryś ze "złoczyńców" wyśle pechowcowi odpowiednio przygotowanego e-maila w formacie HTML lub zachęci go do obejrzenia równie "przyjaznej" witryny
WWW.
Wspomniany problem dotyczy przeglądarek Internet Explorer 5, 5.5 i 6.0, a także współpracujących z nimi programów pocztowych. Z opublikowanych informacji wiadomo, że dotyczy on procedur przetwarzających adresy internetowe oraz nagłówki HTTP, opisujące typy plików. Nie wiadomo, czy chodzi o kolejny przypadek przepełnienia bufora, jednak sytuacja jest szczególnie niebezpieczna ze względu na możliwość dokonania ataku za pomocą "czystego", pozbawionego wszelkich skryptów i dodatków kodu HTML.
Jedynym tymczasowym zabezpieczeniem, jakie mogą wykorzystać użytkownicy obawiający się o kondycję swych komputerów, jest wyłączenie funkcji pobierania plików Internet Explorera. Microsoft, początkowo zaprzeczający istnieniu podobnej "usterki", obecnie testuje program umożliwiający jej naprawienie."
8.
"
Znowu sitko
W ciągu kilku dni po "masowym" $(LC7273:łataniu)$ przez Microsoft przeglądarek Internet Explorer w Sieci pojawiły się informacje o kolejnej dziurze w zabezpieczeniach tego oprogramowania. Jak informuje serwis Heise Online, tzw. kontrolki ActiveX, oznaczone jako "bezpieczne dla skryptów", umożliwiają odczytywanie plików zapisanych na atakowanym komputerze. Korzystający z nich w języku JavaScript program mógłby także wysyłać skradzione informacje na inne komputery.
Odkrywca błędu powiadomił co prawda Microsoft o wyniku swych badań, jednak nie otrzymał żadnej odpowiedzi. Twierdzi on, że na atak podatne są maszyny z przeglądarką Internet Explorer 6.0, która - oprócz włączonej obsługi języków skryptowych - ma ustawioną opcję wywoływania przez nie "bezpiecznych" elementów sterujących ActiveX. Jak łatwo sprawdzić, jest to domyślne ustawienie Explorera."
Ciagle ufacie Microsoftowi???
2002-05-23, 22:27 kazdy moze obejrzec twoj twardy dysk!
Wprawdzie przerzucilem sie na Opere ale spytam, jak to dziala i jak sie przed tym zabezpieczyc w IE?
Nie możecie się doczekać GTA VI? Dzisiaj ściągniesz nowe samochody do ulepszonej GTA V!
Grand Prix Włoch: Verstappen godzi McLarena!
Ford przywraca ducha Ameryki z Mustangiem GTD Spirit of America
Jak zwiększyć osiągi motocykla Suzuki bez dużych wydatków?
Gdyby Elon Musk i Kanye West mieli dziecko: Tesla Cybertruck po mrocznym tuningu Mansory
Niezwykły triumf Kajetanowicza i Szczepaniaka, Polacy wygrywają Rajd Portugalii!
Chevrolet Camaro Convertible od NCE 
Nowa Skoda Superb Combi 
Tapety Pontiac 
