"Extreem gevaarlijk" lek in Firefox 2.0.0.5
Wederom is er een zeer ernstig probleem gevonden in de manier waarop Firefox met linkjes omgaat, en waardoor een aanvaller het systeem kan overnemen. Volgens onderzoekers gaat het om een "extreem gevaarlijk" beveiligingslek wat ontstaat door de manier waarop de browser geregistreerde "URI handlers" verwerkt.
"Ontwikkelaars die URIs voor hun applicatie willen registreren MOETEN BEGRIJPEN dat dit het aanvalsoppervlak voor die applicatie exponentieel vergroot," zegt Billy Rios. Mozilla zou het probleem in de release candidate van Firefox 2.0.0.6 verholpen hebben. Op deze pagina zijn verschillende demonstraties van het lek te vinden, speciaal ontwikkeld voor Windows XP SP2 met Firefox 2.0.0.5, hoewel het probleem ook in Netscape en mogelijk ook andere browsers aanwezig is.
Waarschijnlijk dus alleen XP is hier gevoelig voor (en evt. Vista).
Vreemd, vast een grap.
Dit geintje kende ik 2 jaar geleden al.
Op mij site zette ik soms zo'n zelf geknutselde link om mijn
vrienden en familie te laten schrikken.
Alleen stond er bij mijn link logoff.exe en niet calc.exe
Ik begrijp de lol er niet van.
Het is toch veel leuker als mensen schrikken omdat hun pc
ineens uit lijkt te gaan (niet echt uit, alleen maar
afgemeld) dan dat iemand ineens een rekenmachientje ziet.
Het zal vast wel weer komen door mijn Pdd-Nos stoornis dat
ik de humor er niet van inzie.
Het maakte overigens niet uit met welke browser iemand
klikte op de link.
Ook met internet explorer ging de pc zich afmelden bij
andere mensen.
Dus je bent zo'n goeie hacker dat jij dit probleem al 2 jaar
eerder had gevonden, maar aan de andere kant ben kun je niet
zien dat dit gevaarlijk is?! Fantastisch! xD
Het zal vast wel weer komen door mijn Pdd-Nos stoornis dat
ik de humor er niet van inzie.
Geen idee wat een stoornis met humor te maken heeft.
Daarnaast waarom moet er overal humor achter steken als het
om een veiligheids issue gaat?
Er staat duidelijk op de site dat het op een
proof-of-concept gaat. Dan maakt het toch niet uit of je
iemand kan laten uitloggen en er zelf om kan lachen? Een
proof of concept laat veelal zien, dat datgene wat men in
theorie heeft omschreven, ook in de praktijk getoetst kan
worden om te laten zien wat men bedoeld.
Ik vind dit prima voorbeelden om mensen verder te laten
kijken dan hun browser lang is.
- Unomi -
keurig vraagt of ik die externe applicatie wil openen.
om mijn
vrienden en familie te laten schrikken.
niet hetzelfde.. Het gaat om URI handlers.. http://
telnet:// unreal:// mms:// worden afgehandeld door URI handlers.
Ik zie het probleem niet zo, aangezien Firefox bij mij
keurig vraagt of ik die externe applicatie wil openen.
2.0.0.5.
Net ff getest op W2K SP4 + FF 2.0.0.5 -> werkt niet !
Waarschijnlijk dus alleen XP is hier gevoelig voor (en evt.
Vista).
Vista Ultimate64 - Firefox 2005... geen van die zogenaamde
gevaarlijke links werken.
internet explorer die ik nooit gebruik, duizend maal start
die IE browser op en ik probeer deze IE browser te
vernietigen. Wie weet welke dll verantwoordelijk is voor
probleem. Ik probeer urlmon.dll modificeren ultra editior.
foutmelding, of (duizend keer internet explorer starten). Ik
bezit Windows 2000 professional. Ik heb outlook Express
verwijderd. CMD.exe bestaat niet en call.exe werkt wel.
Maar hou krijg ik Internet Explorer echt plat? Zo dll uit
browser haal en niet meer IE5 start!
editor de regel _blank verwijderd. Het resultaat is dat nu
maar een keer Internet Explorer word gestart en niet 20
maal internet explorer. Omdat Urlmon.dll in geheug geladen
is moet je in msdos werk en kopie bewerk in windows en in
dos terug zetten!
jeroen roland
te zoeken wat exploitabel kan zijn op Uw systeem in relatie
met FF URL-handling, volgens mijn bescheiden mening
slecjhts het topje van de ijsberg, en net zo uitgenbreid te
exploiteren als zwakke cgi's , maar we zijn weer beschermd
door NoScript en de heer Maone sinds 22 Juli j.l. No Script.
- ik snap echt niet waarom de demi-goden van Mozilla dat al
lang niet standaard in Firefox of Flock hebben ingebracht.,
een kind kan nu begrijpen waarom, of is het gebruikers
(on-)gemak wederom de reden dit niet te doen. Oh ja, die
link naar het.
DUH! script: http://erik.cabetas.com/stuff/lameware/DUH.vbs
Wat zit er nog "letterlijk"in de pijplijn, kleine voorlopige
inventarisatie aangaande de URL Handlers die vulnerable
kunnen zijn:
C:Program FilesAdobeAcrobat7.cReaderAcro Rd32.exe/ "%|"
CalToProtocol rundl32.exe msconf.dll, CallToProtocolHandler %|
FIREFOX.EXE - request pending -osint - url "%|"
URL:File Transfer Protocol "C:Program FilesInternet
ExplorerIEXLORE.EXE"%|
gopher URL: gopher protocol "C:Program FilesInternet
Exploreriexplore.exe" nohome
HelpCenter Pluggable Protocol
"C:WINDOWSPCHealthHelpClrBinairiesHelpCtrl.exe"From HCP
-url "%| ...
etc, etc. etc.
polonus
browsers wordt gewezen die het "mogelijk" ook zouden kunnen
hebben. Vreemd ook dat het bij Firefox altijd tussen dubbele quotes
staat, alsof we het met een korreltje zout zouden moeten nemen.
Vraagje: waarom is men hier zo inconsequent? Om de mythe overeind
te houden dat Firefox zo geweldig veilig is? Heeft men daar zulke niet
ter zake doende argumenten voor nodig? Doet mij het ergste vrezen:
ben ik wel zo veilig met Firefox? Ik vrees van niet, Er komen nou te veel
smerige zaken aan het licht, zoals die onterechte beschuldiging van
Mozilla aan het adres van Internet Explorer, waarvan ze nou zelf
moesten toegeven over de schreef te zijn gegaan.
Net ff getest op W2K SP4 + FF 2.0.0.5 -> werkt niet !
Waarschijnlijk dus alleen XP is hier gevoelig voor (en evt. Vista).
Nee, want Internet Explorer draait in Vista in een beschermde
omgeving. Firefox niet. Het ligt aan Firefox en aan niets anders.
anders.
en NoScript blokkeerd het al bijvoorbaat.... !?
Wat is nu eigenlijk het probleem !?!
immers hoe meer botnets hoe beter.. kuch..
zelde probleem. Als iemad weet het commando deltree aan te
sporen op deze wijzen! Update firefox heeft geen zin. De
enigste manier is het unistallaren Webbrowser IE 5, 6, of 7
maar dan werkt je windows systeem niet meer. Weet iemand
manier om Internet browser onschadelijk te maken
bijvoorbeeld wissen van Browseui.dll.
Mcafee SiteAdvior en Plug in Noscript. Nu is het probleem
opgelost in firefox 2! En nieuwste (adobe flashplayer
(netscape die is ook geschikt voor firefox)!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?