[Vest] Nove mogucnosti starog propusta u Internet Explorer-u

Juce je otkriveno da jedan propust u Internet Explorer-u za koji se zna poslednjih 6 meseci omogucava da napadac izvrsi bilo koji kod ako pristupite web strani koju je napravio u tu svrhu. Za propust se zna vec 6 meseci ali se verovalo da se moze iskoristiti za DoS napade koji bi uzrokovali blokiranje IE-a.
Ranjivi su IE 5.5 i 6 na WinXP SP2 i Win2k SP4 (sto ce reci i bez SP-ova).
Exploit je izdala grupa Computer Terrorism.
Patch nije izdat i nije poznato da li ce biti ali ce se verovatno pojaviti kao deo Microsoft-ovog mesecnog izdanja.

Zastita se za sada svodi na iskljucivanje JavaScript-a.

Uskoro jos informacija.

Potpis

Nebojsa Milanovic:
-Trumpa smatram vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu
-Rusija ne laže, ne vodi osvajačke ratove
-Trump je svetla tačka u USA blatu
-Elon Musk, možda najpametniji i najtrezveniji Amerikanac

Jel moze neki link?

http://secunia.com/advisories/15546/
http://www.computerterrorism.com/research/ie/ct21-11-2005
http://www.microsoft.com/technet/security/advisory/911302.mspx
http://www.kb.cert.org/vuls/id/887861

Potpis

Knowledge is power.

U pitanju je situacija da pri izvesnoj upotrebi JavaScript Window() funkcije dolazi do toga da IE pokusava da pozove kod koji se nalazi na adresi koja je smestena u ECX-u. Ta adresa uglavnom ne pokazuje ni na sta smisleno tako da dolazi do "pucanja" IE-a. Medjutim otkriven je nacin da se smesti kod na tu adresu veoma dugim naslovima stranice, dugim imenom fajla i sl. ali su metodi veoma nesigurni i retko uspevaju. Ali, poslednji nacin koji je otkriven bi trebao uvek da radi - JavaScript prompt box.
Tako da... cuvajte se JavaScript prozorcica :).

Ja sam isprobao proof of concept ali je samo pokao IE, nije uspeo da izvrsi kod koji (ni)je trebalo...

Ako neko ima neku vrstu HighlyCustomized filtera za html saobracaj moze staviti da se ne propusta samo funkcija Window(). U suprotnom - iskljucivanje JavaScript-a (Tools > Options, Security, Custom Level).

Potpis

Nebojsa Milanovic:
-Trumpa smatram vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu
-Rusija ne laže, ne vodi osvajačke ratove
-Trump je svetla tačka u USA blatu
-Elon Musk, možda najpametniji i najtrezveniji Amerikanac

Al ko koristi Internet explorer???

Potpis

Pfff

Jesi li mislio na ovaj bug.

Potpis

Owl