Journal crash de IE avec une seule ligne de HTML...

Posté par patrick_g (site web personnel) le 05 mai 2003 à 16:10.

Étiquettes : aucune

mai

2003

je viens de voir ce truc sur "the inquirer" et n'étant pas programmeur j'aimerais un avis.

http://www.theinquirer.net/?article=9288

One line of HTML and it's dead

BORED OF CREATING buffer overflow possibilities and security gaps an electronic elephant could walk through, Microsoft's Internet Explorer development team has turned its attention to good old HTML. Thankfully, this bug just crashes IE. Embarrassingly for the Vole, it's done with just one malformed line of HTML.
The bug is listed on BugTraq as requiring five lines of HTML but, after a small amount of experimentation, you'll find that it can be done with just one line of HTML. The offending line?

<input type crash>

In fact, the word "crash" doesn't really make any difference; you can put "calamari" or "IE sucks" in there and it will still go belly up.

So the Vole has definitely managed to outdo itself this time. According to Neowin, Outlook, Frontpage and anything else that uses shlwapi.dll suffers the same fate. So that simple line of malformed HTML could stop you from reading your email too.

# Re: crash de IE avec une seule ligne de HTML...

Posté par Pipo Le Clown le 05 mai 2003 à 16:16. Évalué à 4.

C'est vrai.
Testé plusieurs fois. Il suffit d'ouvrir IE et de mettre "about:<input type>" (sans les guillemets) dans la barre d'adresse, et tu a un beau plantage d'IE avec l'habituel message d'excuse et la sempiternelle question "Voulez vous envoyer le contenu de votre disque dur à Microsoft?"
- [^] # Re: crash de IE avec une seule ligne de HTML...
  
  Posté par _alex le 06 mai 2003 à 01:20. Évalué à 2.
  
  Marche pas le 6. (dans une page ok, enfin ca plante)
# Re: crash de IE avec une seule ligne de HTML...

Posté par cmotsch le 05 mai 2003 à 16:33. Évalué à 5.

J'ai essayé de mettre cette ligne dans une page HTML "correcte" (avec toutes les balises qu'il faut) et dans ce cas ça ne plante plus sous IE (notamment si on met <body>).
- [^] # Re: crash de IE avec une seule ligne de HTML...
  
  Posté par Pipo Le Clown le 06 mai 2003 à 09:21. Évalué à 1.
  
  C'est vrai. Par contre j'ai fait un test en mettant la ligne avant la balise html de debut de fichier. Un clic sur le fichier dans l'explorateur de fichiers et c'est explorer.exe qui part :)
# Re: crash de IE avec une seule ligne de HTML...

Posté par rictus (site web personnel) le 05 mai 2003 à 17:37. Évalué à 4.

Testé et approuvé sur IE 5.0 (directement dans la barre d'URL).
Ca donne quoi si on le met avant la balise ?

Parce que je le mettrais bien sur toutes mes pages WEB :p
# Re: crash de IE avec une seule ligne de HTML...

Posté par Pascal Terjan (site web personnel) le 05 mai 2003 à 17:38. Évalué à 5.

Ca fait quand même 3 journaux qui annoncent ca en un peu plus d'une semaine :-)
- [^] # Re: crash de IE avec une seule ligne de HTML...
  
  Posté par Lafrite le 05 mai 2003 à 18:31. Évalué à 8.
  
  C'est vrai, et pas un seul n'a envoyé un patch 8-)
  - [^] # Re: crash de IE avec une seule ligne de HTML...
    
    Posté par Anonyme le 05 mai 2003 à 22:26. Évalué à 4.
    
    pourtant y'a http://members.cox.net/preston.bannister/activecvs/cvsscc.html(...) ...
    je me demande dans quelle mesure c'est légal de faire un patch sur du proprio vu que tu ne peux analyser la source du prog.
  - [^] # Re: crash de IE avec une seule ligne de HTML...
    
    Posté par Fabimaru (site web personnel) le 06 mai 2003 à 08:35. Évalué à 2.
    
    Bah il suffirait de faire un filtre de plus pour privoxy...
    - [^] # Re: crash de IE avec une seule ligne de HTML...
      
      Posté par Fabimaru (site web personnel) le 06 mai 2003 à 08:37. Évalué à 2.
      
      Au temps pour moi, j'ai oublie de reflechir: si un script fait un
      document.write("...");
      ca va etre dur de filtrer avec privoxy
# Re: crash de IE avec une seule ligne de HTML...

Posté par jmfayard le 06 mai 2003 à 08:10. Évalué à 3.

Et pendant ce temps, buzilla.mozilla.org a fété son 200 000° bogue.
Vous n'êtes pas drôles les gars avec votre mauvaise fois.
Ne reprochez pas à IE d'avoir des bogues, reprochez-lui
de ne pas les patcher: http://www.pivx.com/larholm/unpatched/(...)
- [^] # Re: crash de IE avec une seule ligne de HTML...
  
  Posté par patrick_g (site web personnel) le 06 mai 2003 à 09:13. Évalué à 1.
  
  Ne reprochez pas à IE d'avoir des bogues
  
  Je ne reproche rien à MS et je suis sur que tous les browsers ont des trous.
  Comme je le dis dans le journal je ne suis pas programmeur et mon but en publiant cette news c'etait d'avoir des avis éclairés : est-ce un bogue génant ou dangereux en utilisation normale ?
  existe-il des bogues aussi évidents et simples sur les browsers alternatifs ?
  IE est-il très buggé en général ?
- [^] # Re: crash de IE avec une seule ligne de HTML...
  
  Posté par Anonyme le 06 mai 2003 à 12:21. Évalué à 1.
  
  « Et pendant ce temps, buzilla.mozilla.org a fété son 200 000° bogue.
  Vous n'êtes pas drôles les gars avec votre mauvaise fois.
  Ne reprochez pas à IE d'avoir des bogues, reprochez-lui
  de ne pas les patche »
  
  C'est ce qui est fait non ?
  
  Aussi, il y a bogue et bogue. C'est un bogue ça où une fonctionnalité ? C'est troublant non ?
  - [^] # Re: crash de IE avec une seule ligne de HTML...
    
    Posté par Grégoire Compagnon le 18 septembre 2003 à 16:45. Évalué à 1.
    
    Non c un bogue. Si c'etait une fonctionnalité, le HD serai formaté en meme temps :)

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.