Journal IE, la sécurité tout ca.

Posté par Mathieu Pillard (site web personnel) le 08 septembre 2003 à 20:52.

Étiquettes : aucune

sept.

2003

http://greymagic.com/adv/gm001-ie/(...)

Il est possible de faire executer a un IE nimporte quelle commande, et ce sans meme avoir besoin de scripting.
La faille a ete decouverte en fevrier, et a ce jour le seul patch qui a circulé sur le sujet ne fixe que l'une des nombreuses facons de proceder (comprendre c'est un gros hack) ... et ben...

# Re: IE, la sécurité tout ca.

Posté par kd le 08 septembre 2003 à 21:00. Évalué à 1.

Quel dommage, on aurait bien voulu corriger ce malheureux bug en soumettant un patch, si seulement le code source était disponible...

Enfin, j'aurais bien voulu tester si le bug est effectif mais je n'ai pas de machines tournant sous Windows. Est-ce que quelqu'un a déjà testé ?
- [^] # Re: IE, la sécurité tout ca.
  
  Posté par XHTML/CSS inside (site web personnel) le 08 septembre 2003 à 21:11. Évalué à 1.
  
  Je viens de tester.
  Chez moi ça marche pas.
  - [^] # Re: IE, la sécurité tout ca.
    
    Posté par Pierre Tramonson le 08 septembre 2003 à 21:21. Évalué à 2.
    
    Je viens de tester, winXP et IE6.0, ça marche (enfin l'exploit XML).
    C'est très drôle :)
    - [^] # Re: IE, la sécurité tout ca.
      
      Posté par XHTML/CSS inside (site web personnel) le 08 septembre 2003 à 22:48. Évalué à 1.
      
      J'arrive pas à le faire fonctionner.
      Comment as-tu fait ?
      - [^] # Re: IE, la sécurité tout ca.
        
        Posté par Pierre Tramonson le 09 septembre 2003 à 00:33. Évalué à 1.
        
        J'ai juste mis le code du cadre dans le paragraphe "exploit" (code XML) dans le body d'une page HTML. Avec le bon chemin pour lancer la calculatrice windows...
  - [^] # Re: IE, la sécurité tout ca.
    
    Posté par WildChild le 09 septembre 2003 à 05:37. Évalué à 1.
    
    J'ai testé ici aussi. Si la page est sur mon disque dur ça fonctionne mais si elle est sur un serveur ça ne fonctionne pas! Mais j'ai pas testé pour les mails avec Outlook. J'ai l'impression que dans ceux-ci ca doit fonctionner à tout coup!
  - [^] # Re: IE, la sécurité tout ca.
    
    Posté par Dinofly (site web personnel) le 09 septembre 2003 à 11:11. Évalué à 1.
    
    Je sais pas si ca marche chez moi, car dès que j'ai cliqué sur "Enregistrer" dans mon éditeur de texte dans lequel j'ai collé l'exploit XML, mon antivirus s'est mis à gueuler et a mis le fichier en quarantaine :D
    
    Donc je suppose que ca marche :)
# Re: IE, la sécurité tout ca.

Posté par Ramso le 08 septembre 2003 à 21:14. Évalué à 5.

There is no configuration-tweaking workaround for this bug, it will work as long as the browser parses HTML. The only possible solution must come in the form of a patch from Microsoft.

j'ai mieux et plus rapide : puisqu'il s'agit de ne pas laisser IE parser de html, ne pas utiliser IE !

mauvais logiciel, changer logiciel... ha non ? les gens n'ont pas assimilé les règles de la concurrence ? pourtant quand n'importe quel produit de consommation leur plait pas, ils en changent. va comprendre, charles !
- [^] # Re: IE, la sécurité tout ca.
  
  Posté par Benoît Déchamps (site web personnel) le 08 septembre 2003 à 21:33. Évalué à 2.
  
  Encore faudrait-il que les gens en question soient au courant ...
  - [^] # Re: IE, la sécurité tout ca.
    
    Posté par Glenn Y. R. (site web personnel, Mastodon) le 08 septembre 2003 à 22:01. Évalué à 3.
    
    Encore faudrait-il que les gens aux courant participent à l'effort d'information :
    
    P.S: Pour ceux qui seraient au courant et qui auraient perdu l'addresse : http://frimouvy.udev.org/wiki/wakka.php?wiki=GeeKLiberateurs(...)
    - [^] # Re: IE, la sécurité tout ca.
      
      Posté par earxtacy le 08 septembre 2003 à 22:15. Évalué à 1.
      
      Fevrier 2002 ??
      sur que c'est encore d'actualité ?
  - [^] # Re: IE, la sécurité tout ca.
    
    Posté par tuiu pol le 08 septembre 2003 à 23:58. Évalué à 3.
    
    Oui il y a du boulot.
    
    Cet été je passe qq jours dans de la famille. Mon oncle se plaint de ce que son windows plante, c'est, selon lui, lié à des mails qu'il a reçu. Je l'ai coupé et je lui ai dit, sans regarder la machine, "toi tu as la tête de qqn qui utilise IE et Outlook". C'etait un peu comme si je venais de faire apparaitre un lapin sous ses yeux. Et il m'a répondu : "Pourquoi, il y a autre chose?".
    
    J'ai l'impression parfois que c'est sans fin ...
# Re: IE, la sécurité tout ca.

Posté par M le 08 septembre 2003 à 22:56. Évalué à 1.

sous win9* il y avait aussi un truc marant a faire avec ie : dans une balise image il sufisait de mettre file://c:\con\con et c'etait le crash assuré ;)
- [^] # Re: IE, la sécurité tout ca.
  
  Posté par -=[ silmaril ]=- (site web personnel) le 09 septembre 2003 à 09:26. Évalué à 1.
  
  ouaip m'enfin ca ct lie au systeme, tu pouvait faire la meme chose
  dans la fenetre d'execution ou dans le command.com en voulant exectuer
  c:\con\con (ca n'empeche pas que ce soit un gros bug, juste que la pour
  une fois c pas IE le responsable)
  - [^] # Re: IE, la sécurité tout ca.
    
    Posté par jmfayard le 09 septembre 2003 à 14:00. Évalué à 2.
    
    Faut bien avouer que Microsoft a une langueur d'avance en terme d' i18n et de l12n. Avoir des bugs traduits en français, quel bonheur !!!
    Et ce depuis 8 ans déjà.

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.