|
ru.internet.security
- RU.INTERNET.SECURITY ---------------------------------------------------------
From : Igor Kiselov 2:5020/400 07 Mar 2002 17:18:25
To : Trent Clainor
Subject : Re: Очередная дыра в IE
--------------------------------------------------------------------------------
"Trent Clainor" <trent@v6.ru> сообщил/сообщила в новостях следующее:
news:a64gtp$bqt$1@news.sovam.com...
> Данный код можно скопировать в блокнот и сохранить в файл с расширением
> html. Если этот файл будет открыт в Internet Explorer, автоматически
> запустится калькулятор. Путь до калькулятора нужно поправить на реально
> существующий...
>
GreyMagic Security Advisory GM#001-IE
by GreyMagic Software, Israel.
27 Feb 2002.
Topic: Executing arbitrary commands without Active Scripting or ActiveX.
Discovery date: 25 Feb 2002.
<...>
Solution:
There is no configuration-tweaking workaround for this bug, it will work as
long as the browser parses HTML. The only possible solution must come in the
form of a patch from Microsoft.
Update - 3 Mar 2002
Since the injected <object> runs in the "My Computer" Zone changing the
Internet Zone's settings didn't affect it, but changing the correct zone's
settings will prevent this exploit from running.
Here is the registry information:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet
Settings\Zones\0]
Change the value of "1004" (DWORD) to 0x3.
Many thanks to Axel Pettinger and Garland Hopkins for this workaround.
<...>
--- ifmail v.2.15dev5
* Origin: Prominvestbank (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
