Waarschuwing voor lek in Internet Explorer en Opera
Pascal Vyncke, een 20-jarige informatica student uit Belgie, waarschuwt gebruikers van Internet Explorers en Opera 7.54 en 8 voor een lek dat hij in de browsers gevonden heeft. Door de "JavaScript Ghost bug" is het mogelijk dat aanvallers:
- Kwaadwillende JavaScript code uitvoeren op de machine van het slachtofer
- Bestaande bescherming tegen JavaScript code, zoals software van Norton, McAfee etc misleiden
- Zoekmachines als Google, MSN, Yahoo, AltaVista misleiden
Als oplossing wordt aangeraden om JavaScript in Internet Explorer uit te schakelen totdat Microsoft een veiligheidsupdate heeft gepubliceerd.
Pascal Vyncke laat in deze waarschuwing tevens weten dat hij deze bug/exploit publiceert omdat een bekend veiligheidslek minder gevaarlijk is dan een onbekend veiligheidslek. Tevens is er op de pagina een link te vinden die test of de gebruikte browser kwetsbaar is.
google en porno krijgt?
als je op vorige klikt, op die testpagina verspringt de tijd
wel!
Gek hè, het is dan ook later.. Het is de huidige tijd die
getoont wordt.. :-)
als je op vorige klikt, op die testpagina verspringt de tijd
wel!
Gek hè, het is dan ook later.. Het is de huidige tijd die
getoont wordt.. :-)
niet...
1. IE 6 SP1 (Windows XP SP1 en alle patches)
2. Opera 8.0
3. Firefox 1.0.4
A. IE is NIET gevoelig voor het lek, INDIEN de Internetzone wordt ingesteld
op maximum (dus als de schuif geheel omhoog staat)
B.Opera 8.0 is WEL gevoelig voor het lek
C.Firefox 1.0.4 is NIET gevoelig voor het lek.
Of is het een bepaalde syntaxi die er niet klopt.
Het is zelf een 100% perfecte logische bug.
<html>
<head>
<script type="text/jscript">
alert('1')
function init() {
document.write("The time is: " + Date() );
alert('3')
}
window.onload = init;
</script>
</head>
<body>
<script>alert('2')</script>
</body>
</html>
Eerst laat hij de pagina, dan laad een nieuwe pagina met de bewuste
string of code. Wat is hier zo onlogisch onveilig aan? Je zou dit na kunnen
maken door eerst en pagina te openen code uit te voeren en direct door te
redirecten naar een nieuwe pagina.
als je op vorige klikt, op die testpagina verspringt de tijd
wel!
Gek hè, het is dan ook later.. Het is de huidige tijd die
getoont wordt.. :-)
niet...
Dit komt omdat niet de functie in de pagina is geladen maar de returned
string van de functie.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
