ActiveX gevaarlijkste browser-plugin
Het aantal ernstige beveiligingslekken in ActiveX controls groeit explosief, en tot overmaat van ramp blijken aanvallers steeds vaker systemen via kwetsbare controls te hacken. De trend begint in 2006, waar in de eerste zes maanden in ActiveX controls 12 lekken werden gevonden. De tweede helft van vorig jaar laat 40 kwetsbaarheden zien. Het is echter de eerste helft van 2007 die onderzoekers laat schrikken. Van de 237 kwetsbare browser-plugins bevinden zich er 210 in ActiveX controls. Dit zijn niet alleen programma's en controls die Microsoft installeert, ook andere vendors en websites gebruiken de technologie. Naast een toename van beveiligingslekken, zit ook het aantal exploits in de lift.
"Het aantal beschikbare exploits laat zien dat het redelijk eenvoudig voor aanvaller is om deze problemen uit te buiten. Daarnaast zorgt de beschikbaarheid van zoveel proof-of-concept voorbeelden en exploits ervoor dat het ontwikkelen van exploits voor nieuwe lekken, door bestaande te wijzigen, geen moeite kost", zegt Symantec's Greg Ahmad.
Het afgelopen jaar zijn ook verschillende ActiveX lekken door aanvallers misbruikt, zoals die in Yahoo! Messenger, WinZip, IncrediMail en de Microsoft XML Core Service. De aanvallen worden geautomatiseerd via hacker-toolkits zoals MPack, die ook andere ActiveX exploits bevatten. Recente versies van MPack bevatten slechts 1 Windows hack, terwijl de rest allemaal ActiveX of third-party exploits zijn. Dit geeft aan dat criminelen zich vaker richten op kwetsbaarheden in andere software dan alleen het windows besturingssysteem. In dit artikel geeft Ahmad verschillende tips voor Internet Explorer gebruikers om hun browser beter te beveiligen.
gebruikt geen ActiveX.
(onder Windows) de plugin IE-tab installeren. Wel zorgen
voor veilige IE-instellingen.
dat is toch geen nieuws.
dat is toch een algemeen erkend probleem van IE?
dat is toch waarom je IE niet wilt gebruiken?
de hele malware-industrie is toch ontstaan van dit gegeven
en de oudere/brakke versies van outlook?
En als je voor sommige sites niet zonder ie kunt, kan je
(onder Windows) de plugin IE-tab installeren. Wel zorgen
voor veilige IE-instellingen.
gebeurt geef ik dit aan Mozilla door d.m.v. de "Report
Broken Web Site" maar ik zal nooit IE opstarten, dan zoek ik
liever een alternatieve site.
Trouwens erg mooi zoals Windows 2003 Server IE volledig
buiten werking heeft gesteld. Microsoft onderkend hiermee
dat hun browser een gevaar voor hun eigen server software
is. Immers, het is vrij simpel d.m.v. DLL-injectie toch de
ActiveX controls aan te spreken zonder dat je er ook maar
iets van merkt en dat terwijl je altijd FF of Opera e.d.
gebruikt!
Ik zou het liefst IE volledig deinstalleren op mijn Windows
machines.
Marcel
je ies4linux hebt geïnstalleerd: rechtsklikken en de site
opent in IE. Maar ik heb dat eigenlijk nooit meer nodig,
alleen om sites te testen.
onveiligheid onder Linux te brengen. Waarom, vele websites zijn gebouwd
met MS-technologie en zijn anders niet bruikbaar. Is dit de fout van MS of
van de web-bouwers?
Tja dat wisten we al niet voor niets is Firefox beter, dat
gebruikt geen ActiveX.
schrikken van de lekken die FF elke keer weer heeft.
Microsoft. De rest van de vermelde risico's zien we gewoon even niet.
Yahoo Messenger? Incredimail? Nóóóit van gehoord!
Overigens is ActiveX geen uitvinding van Microsoft hoor. Jammer he?
O, o, wat lopen we weer te hoop om onze gal te spuien op een
product van
Microsoft. De rest van de vermelde risico's zien we gewoon
even niet.
Yahoo Messenger? Incredimail? Nóóóit van gehoord!
Overigens is ActiveX geen uitvinding van Microsoft hoor.
Jammer he?
het blijkt lood om oud ijzer? Geen wonder dat mensen het zat
zijn. Zou ik ook zijn als ik enkele honderden euro voor een
gammel OS met applicaties *zou* hebben betaald.
Happy GNU/Linux gebruiker
O, o, wat lopen we weer te hoop om onze gal te spuien op een
product van
Microsoft. De rest van de vermelde risico's zien we gewoon
even niet.
Yahoo Messenger? Incredimail? Nóóóit van gehoord!
Overigens is ActiveX geen uitvinding van Microsoft hoor.
Jammer he?
het blijkt lood om oud ijzer? Geen wonder dat mensen het zat
zijn. Zou ik ook zijn als ik enkele honderden euro voor een
gammel OS met applicaties *zou* hebben betaald.
Happy GNU/Linux gebruiker
product, gammel en men beduvelt de gebruiker.
En ga maar lekker door met je intelligente Linux. Is te hoog gegrepen voor
de gemiddelde gebruiker. Maar die mag in jouw optiek natuurlijk helemaal
geen computer bezitten, laat staan gebruiken.
Kijk gelijk eens even naar al die lekken die in dat o zo stabiele Linux
gevonden zijn.
zo stabiele Linux gevonden zijn.
veiligheid en stabiliteit van systemen goed vergelijken.
Iedere bezoeker van deze site zou inmiddels moeten weten (en
begrijpen) dat aantallen opzich niet zoveel zeggen. Men zou
dit soort argumenten dan ook eigenlijk niet meer verwachten.
Maar ja hoor... :)
Maar wat zeggen aantallen lekken over de stabiliteit? Werkt
software normaal gesproken minder goed doordat er een
mogelijkheid bestaat er een uitzonderlijke fout op af te sturen?
Of betekent stabiliteit ook de hoeveelheid reboots die nodig
zijn per patch?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
