Aantal anti-virus gateways laat geinfecteerde JPEGs door
Afbeeldingen met kwaadaardige code worden niet door alle anti-virus gateways gedetecteerd en onderschept, zo laat Darren Bounds van Intrusec weten. Door het gebruik van speciale encodering voor geinfecteerde JPEG bestanden, kan de afbeelding de beveiliging van de gateway omzeilen. Het gaat om "RFC 2397 base64-encoded" afbeeldingen die binnen HTML documenten geplaatst kunnen worden. Firefox, Safari, Mozilla en Opera ondersteunen RFC 2397 en laten de afbeeldingen op het systeem zien, waardoor dit geinfecteerd kan worden. Gebruikers van Internet Explorer zijn niet kwetsbaar, aangezien de browser van Microsoft de technologie niet ondersteunt en de plaatjes niet kan decoderen. De volgende gateways zijn kwetsbaar bevonden:
- TrendMicro InterScan WebProtect 3.1 Build 1027
- TrendMicro InterScan Messaging Security Suite 5.5 Build 114
- Check Point Firewall-1 NG R55 HFA08 met SmartDefense 541041226
- McAfee Webshield 3000 4.3.20, Proventia Network Sensor met ISS SiteProtector 2.0.4.561
- IronPort met Sophos AV - Engine 3.88 IDE Serial
- TippingPoint UnityOne met Digital Vaccine 2.0.0.2070.
Reacties (16)
"Aangezien er nog geen patches beschikbaar zijn, worden
gebruikers aangeraden om hun desktops en browser volledig te
patchen. Meer informatie is in deze advisory te vinden. "
Klinkt niet erg logisch :S
gebruikers aangeraden om hun desktops en browser volledig te
patchen. Meer informatie is in deze advisory te vinden. "
Klinkt niet erg logisch :S
Typisch: als het een Windows probleem was geweest, was ik nu
waarschijnlijk poster 3556 geweest.
Nu is het Mozilla en Firefox en nu zie ik helemaal geen post ?.
Waar zijn de mensen die nu roepen: ik gebruik al jaaaaren Firefox, maar ik
ga nu gauw over op IE, want dat FF is 3 x niks.
waarschijnlijk poster 3556 geweest.
Nu is het Mozilla en Firefox en nu zie ik helemaal geen post ?.
Waar zijn de mensen die nu roepen: ik gebruik al jaaaaren Firefox, maar ik
ga nu gauw over op IE, want dat FF is 3 x niks.
Door Anoniem
Typisch: als het een Windows probleem was geweest, was ik nu
waarschijnlijk poster 3556 geweest.
Nu is het Mozilla en Firefox en nu zie ik helemaal geen post ?.
Waar zijn de mensen die nu roepen: ik gebruik al jaaaaren
Firefox, maar ik
ga nu gauw over op IE, want dat FF is 3 x niks.
Omdat het implementeren van een RFC niet bepaald eenTypisch: als het een Windows probleem was geweest, was ik nu
waarschijnlijk poster 3556 geweest.
Nu is het Mozilla en Firefox en nu zie ik helemaal geen post ?.
Waar zijn de mensen die nu roepen: ik gebruik al jaaaaren
Firefox, maar ik
ga nu gauw over op IE, want dat FF is 3 x niks.
probleem genoemd kan worden...
Het in dit artikel beschreven probleem is dat eventueel
getrojaniseerde jpegs doorgelaten worden door ee aantal
applicatiefilters wanneer er gebruik wordt gemaakt van een
bepaalde encodingtechniek. Dit heeft dus ook niks met
Mozilla te maken, behalve dan dat IE blijkbaar een feature
mist die andere browsers, zoals Mozilla, wel hebben..
Door Anoniem
"...behalve dan dat IE blijkbaar een feature mist die andere browsers, zoals
Mozilla, wel hebben.."
"...behalve dan dat IE blijkbaar een feature mist die andere browsers, zoals
Mozilla, wel hebben.."
Tuurlijk, draai het maar weer om in jouw "voordeel".
Door Anoniem
Dit heeft dus ook niks met
Mozilla te maken, behalve dan dat IE blijkbaar een feature
mist die andere browsers, zoals Mozilla, wel hebben..
Feature = mogelijke kwetsbaarheid, is zo langzamerhand eenDit heeft dus ook niks met
Mozilla te maken, behalve dan dat IE blijkbaar een feature
mist die andere browsers, zoals Mozilla, wel hebben..
stelregel die steeds meer werkelijkheid wordt.
weer 1 Feit Om voor Internet Explorer Te Kiezen:D(dankzij Al De Lekken In
IE):D
IE):D
Op zondag 16 januari 2005 15:14 schreef Anoniem:
> Typisch: als het een Windows probleem was geweest,
> was ik nu waarschijnlijk poster 3556 geweest.
> Nu is het Mozilla en Firefox en nu zie ik helemaal geen
> post ?.
> Waar zijn de mensen die nu roepen: ik gebruik al
> jaaaaren Firefox, maar ik ga nu gauw over op IE, want
> dat FF is 3 x niks.
Ik gebruik nog geen jaaaaren Firefox, maar al wel een
tijdje, en ben ervan overtuigd dat ik daar safer mee surf.
Even de feiten op een rijtje. De bug waar het hier om gaat
zit in meerdere MS GDI libraries, waar al een tijd een patch
voor is, en als zodanig heeft deze bug dan ook niets
met Firefox, Mozilla, Safari of Opera te maken; het is
dus wel een Windows probleem. Zie
http://secunia.com/advisories/13792/.
Sterker nog, genoemde browsers gebruiken bij mijn weten de
MS GDI libraries niet voor het renderen van JPEG (van Safari
heb ik helemaal een sterk vermoeden dat ze dat niet doen :)
dus zelfs op ongepatchte systemen ben je met bijv. FF niet
kwetsbaar, TENZIJ je vanuit de browser een plaatje saved en
in een MS applicatie opent. Zie
http://reviews.cnet.com/4520-3513_7-5515107-1.html
voor een lijstje (en waarom je FF moet gebruiken). Terzijde,
toevallig las ik gisteravond in de FAQ van IrfanView dat ook
deze geen MS libraries gebruikt bij het renderen van JPEG.
Dit soort bekendmakingen van heren als Darren Bounds hebben
vaak een flink FUD (NL: AOT = Angst, Onzekerheid en Twijfel)
zaaiend karakter; immers de bedrijven die heren als Darren
vertegenwoordigen maken producten die je tegen allerlei
narigheid beschermen. Genoemde gateway producten worden
waarschijnlijk alleen bij grote bedrijven ingezet, en mocht
je ISP ze gebruiken dan is dat hooguit om email te scannen.
Aan de andere kant is het goed te weten waar mogelijke
kwetsbaarheden zitten, omdat effectieve exploits vaak van
meerdere lekken gebruikmaken. I.p.v. JPEG kun je mogelijk
ook een ANI file in een webpage embedden (en met BASE64
inpakken), en wie weet wat voor exploits ons nog te wachten
staan.
Overigens heb je op je desktop niets aan "scanners onderweg"
(gateways) als je SSL verbindingen tussen jouw PC en remote
webservers kunt opbouwen. Hetzelfde geldt als men je een
versleutelde file e-mailed en je overhaalt deze uit te
pakken en te openen (tenzij er een reproducerend patroon in
zit dat door virusscanners herkend kan worden).
Erik van Straten
> Typisch: als het een Windows probleem was geweest,
> was ik nu waarschijnlijk poster 3556 geweest.
> Nu is het Mozilla en Firefox en nu zie ik helemaal geen
> post ?.
> Waar zijn de mensen die nu roepen: ik gebruik al
> jaaaaren Firefox, maar ik ga nu gauw over op IE, want
> dat FF is 3 x niks.
Ik gebruik nog geen jaaaaren Firefox, maar al wel een
tijdje, en ben ervan overtuigd dat ik daar safer mee surf.
Even de feiten op een rijtje. De bug waar het hier om gaat
zit in meerdere MS GDI libraries, waar al een tijd een patch
voor is, en als zodanig heeft deze bug dan ook niets
met Firefox, Mozilla, Safari of Opera te maken; het is
dus wel een Windows probleem. Zie
http://secunia.com/advisories/13792/.
Sterker nog, genoemde browsers gebruiken bij mijn weten de
MS GDI libraries niet voor het renderen van JPEG (van Safari
heb ik helemaal een sterk vermoeden dat ze dat niet doen :)
dus zelfs op ongepatchte systemen ben je met bijv. FF niet
kwetsbaar, TENZIJ je vanuit de browser een plaatje saved en
in een MS applicatie opent. Zie
http://reviews.cnet.com/4520-3513_7-5515107-1.html
voor een lijstje (en waarom je FF moet gebruiken). Terzijde,
toevallig las ik gisteravond in de FAQ van IrfanView dat ook
deze geen MS libraries gebruikt bij het renderen van JPEG.
Dit soort bekendmakingen van heren als Darren Bounds hebben
vaak een flink FUD (NL: AOT = Angst, Onzekerheid en Twijfel)
zaaiend karakter; immers de bedrijven die heren als Darren
vertegenwoordigen maken producten die je tegen allerlei
narigheid beschermen. Genoemde gateway producten worden
waarschijnlijk alleen bij grote bedrijven ingezet, en mocht
je ISP ze gebruiken dan is dat hooguit om email te scannen.
Aan de andere kant is het goed te weten waar mogelijke
kwetsbaarheden zitten, omdat effectieve exploits vaak van
meerdere lekken gebruikmaken. I.p.v. JPEG kun je mogelijk
ook een ANI file in een webpage embedden (en met BASE64
inpakken), en wie weet wat voor exploits ons nog te wachten
staan.
Overigens heb je op je desktop niets aan "scanners onderweg"
(gateways) als je SSL verbindingen tussen jouw PC en remote
webservers kunt opbouwen. Hetzelfde geldt als men je een
versleutelde file e-mailed en je overhaalt deze uit te
pakken en te openen (tenzij er een reproducerend patroon in
zit dat door virusscanners herkend kan worden).
Erik van Straten
Grappig, in het stukje op Heise waarnaar hierboven verwezen
wordt, kan je het volgende lezen: "Firefox, Safari, Mozilla
and Opera support RFC 2397 and will therefore display the
images within the user's system - leading to the latter
being infected. For once, users of Internet Explorer are
not affected, as this program does not support the
technology and cannot decode the images".
Dat "for once" zegt mij meer dan genoeg.
En in de advisory staat: "Solution:
While AV vendor patches are not yet available, fixes for all
currently known image vulnerabilities are and have been for
several months. If you have not yet applied them, you have
your own
negligence to blame.".
Als het goed is, zijn mogelijk kwetsbare systemen allang
gepatched en lopen die dus geen risico.
Ik blijf dus lekker FireFox gebruiken en IE alleen als het
echt niet anders kan (vrijwel nooit dus) :-)
wordt, kan je het volgende lezen: "Firefox, Safari, Mozilla
and Opera support RFC 2397 and will therefore display the
images within the user's system - leading to the latter
being infected. For once, users of Internet Explorer are
not affected, as this program does not support the
technology and cannot decode the images".
Dat "for once" zegt mij meer dan genoeg.
En in de advisory staat: "Solution:
While AV vendor patches are not yet available, fixes for all
currently known image vulnerabilities are and have been for
several months. If you have not yet applied them, you have
your own
negligence to blame.".
Als het goed is, zijn mogelijk kwetsbare systemen allang
gepatched en lopen die dus geen risico.
Ik blijf dus lekker FireFox gebruiken en IE alleen als het
echt niet anders kan (vrijwel nooit dus) :-)
17-01-2005, 08:13 door
Peter_
Advies: Gebruik geen Firefox, Safari, Mozilla and Opera.
Maar een andere browser zoals Internet Explorer.
Dit zou een advies kunnen zijn als het andersom was geweest.
Maar nu hoor ik helemaal niemand hierover klagen. :(:(
Maar een andere browser zoals Internet Explorer.
Dit zou een advies kunnen zijn als het andersom was geweest.
Maar nu hoor ik helemaal niemand hierover klagen. :(:(
17-01-2005, 08:27 door
splatx
Ik snap gewoon niet wat je op al die duitse porno sites doet met
adware/malware/geinfecteerde plaatjes van je favoriete naakte oma.
Het is zo gek, thuis gebruik ik echt vanalles verschillende browsers,
verschillende operating systems (Windows XP, Windows 2000, Slackware
Linux, FreeBSD, en ik heb al een jaar nog NOOIT gez**k gehad. (Nee ik gebruik het niet voor een jaar, maar het was een jaar geleden voor ik mijn firewall had verwijderd)
Nog nooit een belangrijk(erg schadelijk) virus, en ook nooit cruciaal veel
adware.
Mensen, koop gewoon een goede firewall (hardwarematig) en laat die al
het gestress voor je doen.
Ook ben ik gewoon een veilige browser, ik klik niet random op "Click here
for free access to 500 MSN Smileys and avatars" en bezoek geen rare
n00by-websites.
Mijn advies:
Koop een goede hardwarematige Firewall(met een soort ingebouwde
virusscanner) (Check de Draytek reeks maar eens) en browse gewoon
niet simpelweg maar een ban door het internet (zoals cracks van duitse
websites halen)
adware/malware/geinfecteerde plaatjes van je favoriete naakte oma.
Het is zo gek, thuis gebruik ik echt vanalles verschillende browsers,
verschillende operating systems (Windows XP, Windows 2000, Slackware
Linux, FreeBSD, en ik heb al een jaar nog NOOIT gez**k gehad. (Nee ik gebruik het niet voor een jaar, maar het was een jaar geleden voor ik mijn firewall had verwijderd)
Nog nooit een belangrijk(erg schadelijk) virus, en ook nooit cruciaal veel
adware.
Mensen, koop gewoon een goede firewall (hardwarematig) en laat die al
het gestress voor je doen.
Ook ben ik gewoon een veilige browser, ik klik niet random op "Click here
for free access to 500 MSN Smileys and avatars" en bezoek geen rare
n00by-websites.
Mijn advies:
Koop een goede hardwarematige Firewall(met een soort ingebouwde
virusscanner) (Check de Draytek reeks maar eens) en browse gewoon
niet simpelweg maar een ban door het internet (zoals cracks van duitse
websites halen)
Door W32_bolke
Advies: Gebruik geen Firefox, Safari, Mozilla and Opera.
Maar een andere browser zoals Internet Explorer.
Dit zou een advies kunnen zijn als het andersom was geweest.
Maar nu hoor ik helemaal niemand hierover klagen. :(:(
Dit zou een advies kunnen zijn als er niet al maanden patches beschikbaar Advies: Gebruik geen Firefox, Safari, Mozilla and Opera.
Maar een andere browser zoals Internet Explorer.
Dit zou een advies kunnen zijn als het andersom was geweest.
Maar nu hoor ik helemaal niemand hierover klagen. :(:(
waren "for all currently known image vulnerabilities".
Dus wie zijn systemen up-2-date heeft, heeft geen last.
Ben je familie van die domme Beer van TV soms?
Het artikel spreekt over Multi-vendor AV gateway, maar
volgens mij is CheckPoint Smartdefense toch echt geen AV
gateway...
volgens mij is CheckPoint Smartdefense toch echt geen AV
gateway...
Reden te meer om Windows links te laten liggen.
Een fysiek kwaadaardige afbeelding?
Een fysiek kwaadaardige afbeelding?
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
