Microsoft GolfPlatz

Evo, zopet luknje! Tokrat troje njih. Prva obstaja v Microsoftovemu jedru storitev XML (natančneje: XMLHTTP ActiveX kontrolniku), ki preprosto ignorirajo varnostne nastavitve računalnika. ZlobnaSpletnaStran bi torej iz uporabnikovega računala potegnila (zgolj za branje!) katerokoli datoteko, katere polni naslov bi seveda morala vedeti. Prizadeti smo uporabniki Oken XP, Internet Explorerja 6 ter strežnika SQL 2000. Več.

Naslednjo so našli v Commerce Server-ju 2000: napaka v modulu za avtentikacijo ter ISAPI filtru uporabniku odpira možnosti DoS napada. Več.

Zadnji problemček obstaja v VBScript-u v IE 5.01, pa vse tja do zadnje verzije, 6.0. ZlobnemuDečku omogoča branje datotek na lokalni ravni (izvajanje skript pa tudi na ravni iste platforme/različne domene), kar je zelo priročno za krajo SiOLovih ter drugih gesel. Več.

Krpice najdete v vseh bolje založenih trgovinah, sicer pa tudi na Windows Update-u oz. Microsoftovih Security Bulletin-ih, katere linke sem podal.