izelord fyrir 23 árum Fjöldi lestra: 1085

Alvarlegur galli í IE (cookies)

Alvarlegur Galli í IExplorer(cookies)

Nú erum við búnir að tala aðeins um þessar blessuðu cookies, það kom margt gott fram og flestir voru á sama máli að þessar cookies væru nú alltílagi.En núna var að koma í ljós að utanaðkomandi getur lesið næstum hvaða cookie sem er vegna villu í internet explorer 5.5 - 6. Þetta er mjög alvarlegt mál þar sem að þessi aðili gæti fengið flest ykkar password og ýmsar persónulegar upplýsingar, s.s. kreditkortanúmer (það segir Microsoft allavega). Hann ætti þó ekki að geta fengið allar cookies í einu, hann mun aðeins geta fengið eina köku í einu. Þetta er gert með URLi sem greinilega villir um fyrir IE. Þessi villa var uppgötvuð fyrir 2 vikum síðan og margt getur hafa gerst á þeim tíma, þið þurfið aðeins að klikka á einn svona URL sem er í inboxinu ykkar í hotmail og þá eru þjófarnir með passann á hotmailið (þeas ef þið eruð með cookies allowed), og/eða persónulegar upplýsingar (ég er ekki alveg viss um þetta með passwordið en það ætti að vera hægt á nokkrum stöðum.

Lausnin, það sem flestir ættu að hafa áhuga á að vogita eitthvað um. Lausn, þar til microsoft gefur út Patch: Diseibla scripting.

þeir sem ekki vita hvernig þetta er gert:
* tools->internet options->security->customlevel
* settings -> scripting -> Disable “active scripting” og “scripting of java applets”

* ok

þess má geta að þessi hola var rated HIGH security risk af microsofthttp://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS01-055.asp

PS. Brunavarnarkerfið fór í gang meðan ég var að skrifa þetta og við fórum öll útúr stofunni, fyrir utan einn sem var því miður sofandi…ef við hefðum ekki vakið hann…btw. enginn eldur, smá bruni í eldhúsinu, enginn skaði.

Það besta sem guð hefur skapað er nýr dagur.

Gauos fyrir 23 árum

Jájá

Mortal men doomed to die!

Fyrra álit

Kjarrval fyrir 23 árum

Það má nefna það að aðeins síður sem eru undir secure sites geta haft aðgang að þessum cookies, það er alger óþarfi að vera með panic nema þið hafið sett allar síður sem secure sites. Sem default í IE, þá er secure sites listinn tómur.

Fyrra álit

izelord fyrir 23 árum

ég er ekki alveg viss um það…venjulega er það BARA heimasíðan sjálf sem fær aðgang að sínu cookie, þó hún sé ekki í secure site. Með þessarri holu er víst hægt að rugla það kerfi og fá aðgang að vissum cookies.

Það besta sem guð hefur skapað er nýr dagur.

Fyrra álit

Kjarrval fyrir 23 árum

Ég fékk e-mail frá Microsoft um þetta og þeir tóku sérstaklega fram að eingöngu síður undir secure sites gátu þetta.

Fyrra álit

izelord fyrir 23 árum

hmm, þá þarf ég að fara að leiðrétta þá :P
hehe…
hvar skráir marr sig á svona email?

Það besta sem guð hefur skapað er nýr dagur.

Fyrra álit

malicious fyrir 23 árum

Ég var að pæla á meðan við erum að tala um IE, er sjéns á því að einhver síða geti breytt “Homepage”inu hjá manni án þess að maður viti af því?

Fyrra álit

izelord fyrir 23 árum

ekki nema með mean tricks eins og að fá mann til að ýta mörgum sinnum á enter og svo um leið poppa upp glugganum þar sem marr þarf að accepta. Marr verður að accpecta

Það besta sem guð hefur skapað er nýr dagur.

Fyrra álit

kiddisig fyrir 23 árum

Nei! Galli í Internet Explorer?! Það er nú ekkert nýtt að það sé galli í explorer, þetta er nú einu sinni forrit frá Microsoft!

Fyrra álit

hallurha fyrir 23 árum

Talandi um mean trick…versta trick sem til er helvítið sem bretitir regestryinu þannig að einhver síða er föst sem homepage.
Vinur minn lennti í því að lotita eitthvað var föst sem homepage, án þess að hann vissi það og hann var að sína pabba sínum netið og hveikti á því :) hahaha. hefði viljað sjá svipinn á honum.

Fyrra álit

Corvus fyrir 23 árum

Ég hef lent í þessu, var að kíkja á mp3 síður og viti menn koma ekki popup gluggar frá klámsíðum og ein þeirra setti sig sem homepage í IE. Þetta er eitthvað scripting trikk, sem þú losnar við með að disable-a eins og áður kom fram. Vil taka fram að þetta hefur bara einu sinni komið fyrir hjá mér.

Fyrra álit

source fyrir 23 árum

ef mar disablar þetta helvíti þá getur mar ekki checka á updatez á microsoft update síðunni :(

Fyrra álit

eflash fyrir 23 árum

Mér finnst það einmitt mesta snilldin :) Týpískt Windóws…

Fyrra álit

izelord fyrir 23 árum

eneiblar það þá bara meðan þú ert að updeita.
btw, það ætti að koma patch út á næstunni.

Það besta sem guð hefur skapað er nýr dagur.

Fyrra álit

Kjarrval fyrir 23 árum

Izelord, ég ruglaðist í fyrri svari mínu. Síðan sem er með scriptinu þarf ekki að vera í trusted sites til þess að geta náð í kökurnar.

En í staðinn fyrir að gera disable, þá myndi ég gera prompt svo maður viti hvort síðan keyri á Active script og ýtir bara á yes þegar þú getur treyst síðunni. Betra að hafa það þannig svo maður láti þetta ekki trufla alla vefskoðun og Windowsupdates ætti að keyra fínt(fyrir utan að þú ert promptaður oft).

Fyrra álit

Kjarrval fyrir 23 árum

Ef þið fóruð eftir ráði mínu áðan ætla ég að bæta því við að fara í Tools|Internet Options…|Security|Trusted sites|sites og þar er hægt að bæta við heimasíðum sem þið treystið. Fyrir hugi.is, bætið inn www.hugi.is og til að losna algerlega við prompt á windowsupdate, bætið inn windowsupdate.microsoft.com og v4.windowsupdate.microsoft.com
Þá ætti þetta er vera komið.

Fyrra álit

izelord fyrir 23 árum

takk marr, ég fann heldur ekkert um þetta trusted sites dæmi á security bulletinum hjá þeim :P
Er ég þá fullkominn?

Það besta sem guð hefur skapað er nýr dagur.

Fyrra álit

Kjarrval fyrir 23 árum

Nei marr. Greinin þín var bara hálf gert copy/paste :þ

Ég hefði getað skrifað grein um þetta degi áður en mbl.is birti þetta :)

Fyrra álit

izelord fyrir 23 árum

whut?
nei, marr, ég skrifaði þetta eftir því sem ég fann á security bulletinu. Bara tilviljun ef þetta líkist einhverri grein á mbl.is, best að tjékka samt á því hvernig þeirra lýtur út.

Það besta sem guð hefur skapað er nýr dagur.

Fyrra álit

havh fyrir 23 árum

*Geisp*

'Gallinn' er forritarinn/hálvitinn sem býr til heimasíðuna. Það að geyma password eða visakortanúmer í cookie segir allt um greindarskort forritarans. Hann ætti að fara að sinna ruslatínslu í stað forritunar.

Hvað varðar lausnina á þessu security breach þá disable-ar þetta virkni á flest öllum betur hönnuðum síðum í heiminum, a.k.a. öllum þeim sem innihalda vott af javascripti.

kv
Halldó

Fyrra álit

Spa fyrir 23 árum

Okay… Þið komið margir hverjir hérna inn á þetta Windows ÁHUGAMÁL takið eftir og setjið útá það. Ég er svona 99% viss að í flestum tilvikum af þessum niðurlægingum og svoleiðis eruð þið líklega að skrifa þessa grein gegnum IE og notandi Windows. Ef þið eruð svona harðir linux aðdáendur, haldið ykkur þar og hættið að niðra Windows !

Sölvi Páll Ásgeirsson

Fyrra álit

izelord fyrir 23 árum

ertu að segja að þeir sem forrituðu huga séu hálfvitar?
Þetta viðgengst á flestum heimasíðum að password séu geymd í cookies. Þannig er það og ég vona að þannig verði það áfram. Það er bara þessi litla hola hérna sem þarf að laga…

Það besta sem guð hefur skapað er nýr dagur.

Fyrra álit

havh fyrir 23 árum

Í http requestinu er hlutur sem heitir authentication-header. Miklu eðlilegra er að pota user/pass þar og vista síðan í browser locally passwordið ef þú villt geyma það.

Fyrra álit

havh fyrir 23 árum

fór síðan og skoðaði kökuna sem er geymd fyrir hugi.is. passwordið er encryptað þar (með hvaða staðli veit ég ekki).
kv
Halldó

Fyrra álit

[Notanda eytt] fyrir 23 árum

Ekki nota þetta IE drasl. Notið frekar Opera 6!
Langbesti vafri sem ég hef séð. Hann er með öllu.
Engir gallar og miklu hraðvirkari.
(http://www.opera.com

Fyrra álit

Windows

Windows

Ofurhugar

Stjórnendur

Hverjir eru inni

Greinar

Alvarlegur galli í IE (cookies)

Dýr

Dægurmál

Fræði

Leikir

Lífið

Lífsstíll

Margmiðlun

Menning

Skjár

Sport

Tónlist

Tækni

Vélar

Hugi