Νέο bug σε όλες τις εκδόσεις του ΙΕ, επιβεβαιώνει η Microsoft

[michael92]

Υπάρχει ακόμα πρόγραμμα που λέγεται Internet Explorer? o_O

[tampatas]

Ξέχασε να αναφέρει ότι ο χρήστης μπορεί να χρησιμοποιήσει και κάποιον άλλο browser όπως τον Firefox, Opera, Chrome μέχρι να διορθώσει το συγκεκριμένο patch…

 

το σχόλιο πάντως όλα τα λεφτά

[SL9S9]

+1 και απο εμενα μεγαλε, αλλα που ειναι οι υπερασπιστες να αναλαβουν δραση?

Αφου απαγορευεται. Πιστευω οτι δεν αναλαμβανει καποια ευρωπαικη εταιρία λογω διακρατικών συμφωνιων. Αν θυμασαι οταν Γαλλια και Γερμανια είπαν να κανουν απο κοινού (!) νεα μηχανη αναζητησης, να κοντραρει την google, οι αμερικανοι "απειλησαν" τις εισαγωγες γερμανικών αυτοκινήτων στην αμερική και φυσικα κανανε πίσω. (2ο σχόλιο με firefox )

[Αδμιν]

Έπαιξε στις ειδήσεις του ANT1 το bug του IE...

[kage]

Απόψε διορθώνει η Microsoft το μεγάλο κενό ασφαλείας στον Internet Explorer

 

edit:εδω το update http://www.microsoft.com/protect/computer/updates/bulletins/200812_oob.mspx

Επεξ/σία 18 Δεκεμβρίου 2008 από kage

[Predatorkill]

Αναλυτικα το προβλημα μαζι με το exposure και προσωρινες λυσεις:

 

Update: Highest Severity Zero Day IE Hole Even Affects Patched Vista Users

Microsoft releases an emergency security patch

Severity: High

 

17 December, 2008

Update:

On Thursday 11 December, we published an alert about attackers exploiting a zero day vulnerability in Internet Explorer (IE). By enticing one of your users to a malicious Web site, an attacker can exploit this vulnerability to execute code on your user's computer, with your user's privileges. In the worst case scenario, the attacker could gain total control of your user's PC. When we published our alert, Microsoft had not released a patch to fix this vulnerability. Instead, you had to rely on various workarounds to mitigate your risk.

Over the past few days, attackers have actively exploited this dangerous new IE vulnerability. In fact, researchers at TrendMicro estimated that attackers have hijacked at least 6,000 legitimate web sites, and leveraged this flaw to boobytrap those sites with drive-by downloads. Attackers have also made code that exploits this vulnerability readily available on many public archives. For these reasons, we consider this flaw a highly severe risk.

Today, Microsoft released an out-of-cycle security bulletin with an update that fixes this serious IE vulnerability. Microsoft has also confirmed that this flaw affects all recent versions of IE; not just 7.x. If you use IE in your network, you should download, test, and deploy this update immediately. You can find links to Microsoft's various patches in the Solution Path section of this update, below. For further description of the problem it solves, refer to our original alert, reproduced below for your convenience.

Solution Path:

These patches fix serious issues. You should download, test, and deploy the appropriate IE patches immediately.

 

• Internet Explorer 5.01 (for Windows 2000)
  
• Internet Explorer 6.0
  
  • 
    
    • Microsoft no longer supports 98, ME, or XP SP1.
      
    • For Windows 2000
      
    • For Windows XP
      
    • For Windows XP x64
      
    • For Windows Server 2003
      
    • For Windows Server 2003 x64
      
    • For Windows Server 2003 Itanium
      

 

 

[*]Internet Explorer 7.0

• 
  
  • For Windows XP
    
  • For Windows XP x64
    
  • For Windows Server 2003
    
  • For Windows Server 2003 x64
    
  • For Windows Server 2003 Itanium
    
  • For Windows Vista
    
  • For Windows Vista x64
    
  • For Windows Server 2008
    
  • For Windows Server 2008 x64
    
  • For Windows Server 2008 Itanium
    

 

 

Summary:

 

• This vulnerability affects: The latest version of Internet Explorer (IE) 7.x
  
• How an attacker exploits them: By enticing one of your users to a malicious web site
  
• Impact: An attacker can execute code, potentially gaining complete control of your user's computer
  
• What to do: Implement workarounds described in the "Solution Path" section below immediately
  

Exposure:

In a security advisory released late yesterday, Microsoft warns of a very serious unpatched Internet Explorer (IE) 7.x vulnerability which attackers have already begun exploiting on the Internet. Microsoft has not said whether earlier versions of IE are vulnerable. However, the IE7 flaw means trouble even on fully patched XP, Vista, Server 2003, and Server 2008 computers.

KnownSec, a Chinese security research team, first discovered this new IE 7 vulnerability. Apparently, KnownSec initially worked with Microsoft to disclose the flaw in a responsible manner. However, they accidentally disclosed the technical details about this vulnerability too early, thinking that Microsoft had already released a patch to fix it. Even worse, hackers probably knew about this vulnerability before KnownSec leaked it. According to researchers at iDefense, an exploit that leveraged this unpatched IE 7 flaw was traded on underground forums for $15,000 US before KnownSec's leak. Now, attackers can find multiple exploits for this flaw -- for free -- on a well-known exploit archive site.

According to what we can garner from a Chinese language alert (Google translated version) about this flaw, it involves IE 7's inability to properly parse a particular element in an XML document. (If you'd like to learn even more technical detail about this flaw, Metasploit creator HD Moore posted his excellent analysis of it). If an attacker can lure one of your users to a malicious web site, or to a legitimate site that the attacker has booby-trapped, he can exploit this flaw to execute code on your user's computer, with your user's privileges. Since most Windows users have local administrative privileges, an attacker can probably exploit this flaw to gain complete control of your user's PC.

We have tested one of the exploits for this zero day IE 7 flaw on an XP SP3 machine, and the exploit executed perfectly. Furthermore, the SANs Internet Storm Diary handlers have already seen attackers leveraging SQL injection attacks to inject this zero day flaw into legitimate web sites. Since Microsoft hasn't released a patch for this vulnerability, and attackers are actively exploiting it in the wild, we consider it a highly critical risk. We strongly recommend that you implement the workarounds suggested below immediately.

Solution Path:

Microsoft has not had time to release a patch for this vulnerability yet; we will update this alert as soon as they do. Until that time, you can mitigate the risk of this vulnerability in the following ways:

 

• Vista users should run IE in Protected Mode. Protected Mode helps restrict attackers from executing malicious code via memory corruption attacks. (This Microsoft blog post describes how you can check whether or not you're running in Protected Mode.)
  

 

• Run IE at the "High" security level. In this mode, IE will inform you before running any script or ActiveX controls, which this attack relies on to succeed. As long as you don't allow these scripts to run, this attack will not work. To learn how you can enable the High security level in IE, see this entry on the blog, "25 Years of Programming."
  

 

• Enable DEP for IE. Data Execution Protection (DEP) is a technology that helps prevent attackers from executing code via memory corruption vulnerabilities such as buffer overflows. We have tested the IE7 exploits currently found in the wild, and with DEP enabled the exploits cannot execute. In Windows, you can enable DEP for all programs, or for individual programs. You should at least enable DEP for IE. This Microsoft tech note describes how to configure DEP.
  

 

• Use a different browser, at least temporarily. While some organizations are dependent on IE, many have migrated to other web browsers such as Firefox or Opera. While these browsers also suffer from vulnerabilities, you may want to at least temporarily switch to them in order to protect yourself from this high-profile vulnerability.
  

For All WatchGuard Users:

Attackers exploit this vulnerabity using normal HTTP traffic, which you must allow if your users need access to the World Wide Web. For that reason, we urge you to implement the workarounds described above immediately.

Status:

Microsoft hasn't had time to release a patch for this zero day vulnerability. We will inform you when they do.

References:

 

• Microsoft Access Security Advisory 961051
  
• KnownSec Security Advisory [ Chinese language version / Google-translated version ]
  
• HD Moore's analysis of this issue
  
• PC World Article about leaked IE 7 flaw
  
• SAN ISC Diary entry on this issue
  

This alert was researched and written by Corey Nachreiner, CISSP.

[neovdr]

Βγήκε το patch(kb960714)!!! Ε ρε ο αν δεν ήταν ο Ευαγγελάτος δεν θα είχε διορθωθεί τόσο γρήγορα!!!

[markelos]

+1 και απο εμενα μεγαλε, αλλα που ειναι οι υπερασπιστες να αναλαβουν δραση?

 

Αφου απαγορευεται. Πιστευω οτι δεν αναλαμβανει καποια ευρωπαικη εταιρία λογω διακρατικών συμφωνιων. Αν θυμασαι οταν Γαλλια και Γερμανια είπαν να κανουν απο κοινού (!) νεα μηχανη αναζητησης, να κοντραρει την google, οι αμερικανοι "απειλησαν" τις εισαγωγες γερμανικών αυτοκινήτων στην αμερική και φυσικα κανανε πίσω. (2ο σχόλιο με firefox )

 

Offtopic

 

Δεν εννοεί αυτό που νομίζεις Από ότι κατάλαβα λέει για το μέλος με το όνομα Yperaspisths

Σωστός?

 

[DIMITRISG]

Το τελευταίο σοβαρό κενό ασφάλειας στον Internet Explorer, που εκθέτει εκατομμύρια χρήστες στον κίνδυνο επιθέσεων, επιδιορθώνει η Microsoft με επείγουσα ενημέρωση που εξέδωσε την Τετάρτη.

http://www.in.gr/news/article.asp?lngEntityID=968656&lngDtrID=252

 

πως ξερουν οτι ειναι το τελευταιο σοβαρο κενο ασφαλείας;

[kage]

http://www.microsoft.com/downloads/details.aspx?familyid=0190a289-164e-41a7-8c01-fa1aaed3f531&displaylang=en

[dark_banishing]

Το τελευταίο[/b'] σοβαρό κενό ασφάλειας στον Internet Explorer, που εκθέτει εκατομμύρια χρήστες στον κίνδυνο επιθέσεων, επιδιορθώνει η Microsoft με επείγουσα ενημέρωση που εξέδωσε την Τετάρτη.

 

http://www.in.gr/news/article.asp?lngEntityID=968656&lngDtrID=252

 

πως ξερουν οτι ειναι το τελευταιο σοβαρο κενο ασφαλείας;

 

Εννοούν το πιο πρόσφατο.

 

Όπως λέμε αυτό το pc είναι τελευταίας τεχνολογίας.

[ntinos19]

Εννοούν το πιο πρόσφατο.

 

Όπως λέμε αυτό το pc είναι τελευταίας τεχνολογίας.

 

 

αυτο είναι το πιο πρόσφατο? μάλων τωρα πρόσφατα το παραδέχτικαν

 

"η Microsoft επιβεβαίωσε ότι το bug για το οποίο είχε «κατηγορηθεί» η έκδοση 7 του Internet Explorer, υπάρχει και σε παλαιότερες εκδόσεις όπως η 6, η 5 αλλά και η νεότερη IE8 Beta 2, σε εκδόσεις δηλαδή που η Microsoft υποστηρίζει και επίσημα. (IE5.01, IE6 και IE7)"

[biscoto]

αισιχτιρ παλιο εταιρία micropsoft... αυτο το comment το στέλνω με firefox. Τον εγκατεστησα. Η μονη διαφορα που βλεπω είναι το BACK δουλευει πιο γρηγορα.

10 χρόνια τρύπες έχει αυτη η microsoft. Αμ ετσι είναι οταν οι ηλιθιοι οι manager σου λενε στις 1 του μηνός πρεπει να το εχεις ετοιμο ο προγραμματιστής τα μουτζώνει. Νομιζω αυτο φταίει. Τωρα τους λένε ως το 2009 να φτιαξουν windows 7. Πληρώστε 5 χρόνια και βγαλτε σωστα windows το 2013. Περιμενουμε... (το επεκτεινα το θέμα από IE σε Windows μια και ολα τα προγραμματα τους ειναι προβληματικα). Αυτη τη στιγμη παιδευοτανε εδω η συναδελφος γιατι το word εχασε τη διαταξη Α4 με μικρους πίνακες αντι να καλυπτουν όλη τη σελιδα. Συχνα συμβαινει. Λύση: Copy όλα σε νεο word. Και ποσα αλλα.. Καθε μερα κατι δεν παει καλα... καθε μερα κατι ψαχνεις. Τελευταία όταν shutodown δεν κλεινει το pc (μια στις δεκα). Απειρα προβληματα, απειρα pathes και ενημερώσεις για όλα. Ελεος.

παρε mac να εχεις το κεφαλι σου ησυχο