» »

0-day JavaScript ranljivost za MS IE

0-day JavaScript ranljivost za MS IE

Arnes - JavaScript ranljivost inicializacije 'window()' metode v kombinaciji z <BODY onload> HTML oznako omogoča izvedbo poljubne kode. Exploit je že na voljo (seveda kot "proof of concept" koda). Onemogočite JavaScript še danes, vsaj dokler MS ne izda uradnega popravka. FireFox kot kaže kode ne izvede, vendar pa se neha odzivati. Več na Arnesu, CVE, Secunia, Microsoft.

46 komentarjev

_n00b_ ::

Že vgrajujem v mojo spletno stran. >:D >:D

(yoke)

Zgodovina sprememb…

  • spremenil: _n00b_ ()

Tear_DR0P ::

predlagana rešitev (onemogočanje active scriptinga) lahko povzroča težave pri elektronskem bančništvu - tak da boste zadevo moral nazaj vklapljat včasih.
"Figures don't lie, but liars figure."
Samuel Clemens aka Mark Twain

Matthai ::

if (MSIE in use) {download and install Firefox}. >:D
All those moments will be lost in time, like tears in rain...
Time to die.

Microsoft ::

Sej mas vsaj dve loceni skupini; Internet in Trusted sites. Za slednje omogocis ta Active Scripting, za ostale disejblas.


by Miha
s8eqaWrumatu*h-+r5wre3$ev_pheNeyut#VUbraS@e2$u5ESwE67&uhukuCh3pr

Zgodovina sprememb…

Defender_X ::

Za ostale pa uporaboš firefoxa

ginekolog ::

FF pa ne prikaže vseh strani pravilno, oh kakec.
Divers do it deeper.

Spc ::

Če boste izklopili Active Scripting vam ne bo delovala moja vremenska postaja.
Zato najboljše da date mojo vremensko postajo pod trusted pages ali pa direktno dostopate:
http://www.vremenskapostaja.com/SL/

:)

Zgodovina sprememb…

  • spremenil: Spc ()

Matthai ::

Delitev na "internet" in "trusted sites" je dobra. Še boljša je delitev brskalnikov na "trusted" in "crap".
All those moments will be lost in time, like tears in rain...
Time to die.

kronik ::

Pa keri bedak se sploh uporablja IE, take novice so brezpredmetne :D

Azrael ::

In kateri niso crap ?:D
Nekoč je bil Slo-tech.

OmegaBlue ::

No, no fantje, malo ohladite kri, da se tole ne razvije spet v kak mass flamewar.
Never attribute to malice that which can be adequately explained by stupidity.

Tear_DR0P ::

ja eni smo prisiljeni uporabljat IE - v bistvu mi sploh ni tko hudo - za bančništvo, in ja IE je res CRAP, glih tko kot alfa sam je treba povedat katera alfa v primerjavi s katerim lotusom in kater IE v primerjavi s katerim FF

zakaj jst vedno pozabim na tele trusted sites?
"Figures don't lie, but liars figure."
Samuel Clemens aka Mark Twain

_n00b_ ::

if (MSIE in use) {download and install Firefox}. >:D

Nene...

if (MSIE in use) { download firefox; install firefox; delete all shorcuts to msie; }

Tak je bolje :D

Za ostale pa uporaboš firefoxa
Za vse uporabis firefox!

Azrael ::

OK, Omy, vzel na znanje.

Pri novici mi je zanimivo najbolj to, da so za napako vedeli že pred pol leta in se ni zanjo zmenil nihče ne MS in ne OSS skupnost, ker ni bila po prvih ugotovitvah nevarna.

Sedaj je vprašanje ali res obstaja samo koncept, ali je napako že prej kdo znal izkoristiti. Opis v v tej temi se mi zdi ravno to. Za avtorja te teme vem, da uporablja IE.

Edit typo
Nekoč je bil Slo-tech.

Zgodovina sprememb…

  • spremenil: Azrael ()

gumby ::

>> FF pa ne prikaže vseh strani pravilno, oh kakec.

pac en potencialni obiskovalec manj na debilno narejeni strani...
a se naj sekiram zaradi tega?:P

Matthai ::

Azrael, če je to res, potem to pomeni, da je tudi OSS skupnost občasno rahlo gnila pri deployanju popravkov.
To pravim kot podpornik OSS skupnosti.

Debiana naj si vzamejo za zgled!
All those moments will be lost in time, like tears in rain...
Time to die.

blank3 ::

Tear_DROP: Pri NLB uporabljam Firefox brez problemov... ne vem kje imas ti banko. SKB? :)
Zelo sem zaposlen. Potreboval bi brezcasje... vsaj za nekaj casa.

64202 ::

> Successful exploitation requires that the user is e.g. tricked into visiting a malicious website.

Ali pa pohek kaksne bigass strani, kot je to bilo pred kratkim...
I am NaN, I am a free man!

Azrael ::

@Matthai in poznavalci varnosti:

Glede tistega linka, ki sem ga prilepil malo višje. Z avtorjem tiste teme sem se pogovarjal o tem problemu, ki se mu je zgodil (sam od sebe se je namesti kvazi anti spy-ware program) in mi je reber (nick uporabnika) zatrdil, da se je to zgodilo med surfanjem po netu in vsekakor ni zagnal nobenega programa, niti ni nameščal kakšnih ActiveX vsebin (kar bi bil to čisto klasičen način za namestitev vse mogoče nesnage).

Skratka on je zadevo fasal samo s surfanjem. Zato me zanima ali bi bilo možno, da nekdo že uporablja to luknjo in so avtorji koncepta pravzaprav pozni?
Nekoč je bil Slo-tech.

reber ::

Ja, tko je kot je azrael napisal. Za veliko stvari na internetu sem precej nezauplive narave in ne klikam kar tja v en dan, sem precej previden. Pa sem kljub temu staknil nekaj kar nisem hotel.
Uporabljam IE, če je to krivo, potem ... ne vem kaj naj. No, varnost imam nastavljeno na srednjo, ker če je na visoko, potem cel kup strani ne dela prav zaradi activex, že siolova domača stran se ne pokaže prav
No, skb.net pa dela tudi z visoko varnostjo, torej z izklopljenimi activex in javo, ampak zato nekaj drugih skb strani ne pokaže čisto vse, kar pa je v zvezi z denarjem pa dela, vsaj to, da ne bo tko kot s trezorjem :D
je pa tko, da varnostne luknje so in bodo, in vedno se bo najdu en pametnjakovič ki nima druzga dela in to varnostno luknjo najdu in jo tut izkoristu. Na koncu pa lahko poskrbimo tudi za skoraj 100% varnost, ki pa ni ne vem kako funkcionalna ... omrežni kabel odštekat >:D

Looooooka ::

se prav vas odgovor na bug je da naj instaliram browser ki pr istem bugu freezne?
pa vas bi mogu microsoft redno zaposlit...genijalci ni kj.
=)

PARTyZAN ::

Bols, da frizne, kot pa da pozene zlobnokodo™ :P
i7 6700K | GTX970 | Z170 PG | 16 GB DDR4-2666
Leadex Gold 650W | Xonar Phoebus | Samsung 830 256GB

MrStein ::

Matthai:
Debiana naj si vzamejo za zgled!

A ma debian to pofiksano ?
Teštiram če delaž - umlaut dela: ä ?

bf4ed ::

Tear_DR0P dela KLIK tudi z Opero.>:D

Za SKB ne vem, samo more delat.

Tear_DR0P ::

ja smola, banka celje ma pa ebankirja za poslovne uporabnike in ta je jamral z mozilo 100 na uro, čeprav sm zdej vidu da majo celo neke zadeve na novo in morm sprobat
"Figures don't lie, but liars figure."
Samuel Clemens aka Mark Twain

darkolord ::

Z Opero očitno ni nobenih težav... torej je rešitev jasna

[pa nehi s to cenzuro --dare]
spamtrap@hokej.si
spamtrap@gettymobile.si

Zgodovina sprememb…

  • spremenilo: darkolord ()

sverde21 ::

Kk mislte 0-day :\ če je ta bug že par dni zun... ste zgodn ni kej :P
<?php echo `w`; ?>

Highlag ::

@Reber

Ni zadost da kabel potegneš iz etherneta. Moraš na kabel potem še kondom nataknit:D

Ziher je ziher >:D
Never trust a computer you can't throw out a window

Kami ::

Mam FF ampak mam javascript na off :)
http://www.ubuntu.si || http://www.freebsd.si

_n00b_ ::

Mam FF ampak mam javascript na off :)
Bogi S-T... Ne more google analytic te spremljat >:D

Matthai ::

Azrael - čisto možno je, da so avtorji s tem obvestilom že malo pozni.

Za Debiana ne vem ali ima to pofixano ali ne, vem pa, je pri fixanju stvari zelo hiter. Včasih traja le par ur.
All those moments will be lost in time, like tears in rain...
Time to die.

SavoS ::

Heh tudi gorenjska banka z svojim e-bančništvom LINK ne pozna drugega brovserja kot pa Internet explorer... ajjajjaj... kam vse to pelje...:P
Podpis..... Kdo mi je vkradu podpis???

kronik ::

Do menjave banke? Ce ne znajo za stranke poskrbet pol nimas kaj razmisljat.

SavoS ::

Ja saj zato sem pa jaz NLB vzel, ki podpira MOZILLA browserje in I.E... ;)
Podpis..... Kdo mi je vkradu podpis???

Zgodovina sprememb…

  • spremenil: SavoS ()

Jst ::

> FireFox kot kaže kode ne izvede, vendar pa se neha odzivati.


Kaj pa Konquer v KDEju? Pa Opera?

Jst ::

> sem pa jaz NLB vzel, ki podpira MOZILLA browserje in I.E...

V SKB.net lahko prides z vsemi browserji, katere sem sprobal. Opera, FF, I.E., Konquerer

SavoS ::

Jaz sem samo rekel, da LINK od GORENJSKE banke ne podpira drugih brovserjev, samo in edino I.E. :(
Podpis..... Kdo mi je vkradu podpis???

Microsoft ::

Ja za zjokat, ane. Al pa celo za obest!


by Miha
s8eqaWrumatu*h-+r5wre3$ev_pheNeyut#VUbraS@e2$u5ESwE67&uhukuCh3pr

kriko1 ::

Ja, za obest take web developer-je.

Ali ima kdo mogoče banko koper prek neta? Kako imajo tam zrihtano?

hanibal ::

Jst -
Kaj pa Konquer v KDEju? Pa Opera?
Konqueror v Gnome (Debian Sid) se NE sesede. Odpre sicer dodatno okno vsebina katerega je taka:
d4
Not Found
The requested URL /ie/blankWindow.htm was not found on this server.
0
ampak program dela normalno naprej.
Axis of Evil - M$, SCO, RIAA, MPAA

darkolord ::

Ali ima kdo mogoče banko koper prek neta? Kako imajo tam zrihtano?

Ja. Deluje (vsaj) v IE in Operi
spamtrap@hokej.si
spamtrap@gettymobile.si

kriko1 ::

Jaz sem jih vprašal in so mi odgovorili, da deluje samo prek IE. Za drugo ne garantirajo.

darkolord ::

Deljue pa :D
spamtrap@hokej.si
spamtrap@gettymobile.si

MrStein ::

Ruska ruleta tudi deluje. V 5 primerov od 6. >:D
Teštiram če delaž - umlaut dela: ä ?

Zgodovina sprememb…

  • spremenil: MrStein ()

darkolord ::

Don't be a smartass
spamtrap@hokej.si
spamtrap@gettymobile.si

B-D_ ::

Treba bo narediti xploit ki samodejno downloada in inštalira firefox, mu da "ie skin" (idiots would never notice), IExplode ikonce na namizju pa prelinka na superiornejšo varjanto browserja. Blem rešen. Bodo exploiti enkrat za spremembo tud kej dobrega delali.

Izvedba itaq ne bo težavna, en dober programček v slo-tech banner pa se bo samodejno popravilo četrt compov vseh neukih obiskovalcev. Potem bodo pa vsi pravili "odkar obiskujem slo-tech mi ni treba vsake tri tedne reinštalirat windowsov, matr sm l33t! W00t!!!11oneeleven 0:)


edit:

p.s.: Za link gorenjske banke (ultraprimitiven piece-of-shit ki dela prek web interfejsa za ie only, pa še to neverjetno počasi - izognite se če se le morete) sem jaz na lokalni mašini ki je tudi server, tko da mora biti bolj sejf, poskrbel tako, da sem v iexploderja naštimal proxy na "ne_uporabljaj_teh_jajc" (ki se seveda ne resolva) in strani katere lahko zaobidejo proxy nastavil na strežnik od Link-a (za bančništvo). Tko da ie sedaj efektivno deluje le na eni strani, za vse ostale je pa nastavljen en konkreten browser.

Zgodovina sprememb…

  • spremenil: B-D_ ()


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

Web site s tabi

Oddelek: Izdelava spletišč
7851 (722) mte
»

JavaScript ugrabljanje

Oddelek: Novice / Zasebnost
202810 (2072) Matevžk
»

Vzpostavljanje prikritih omrežij s pomočjo XSS ranljivosti in JavaScripta

Oddelek: Novice / Varnost
224250 (2959) MrStein
»

(Ne)nevarni XSS napadi

Oddelek: Novice / Varnost
244087 (2605) lambda
»

Prikaz še enega napada na anonimnost

Oddelek: Novice / Zasebnost
263539 (2445) MrM

Več podobnih tem