Inoffizieller Patch für den URL-Bug im IE Update

Die Organisation Openware.org hat einen Patch für den kürzlichen entdeckten URL-Spoofing-Bug veröffentlicht. Damit ist es möglich, durch Modifizierung einer URL, eine andere Webseite als die eigentlich gewollte Webseite darzustellen (wir ... mehr...

Diese Nachricht vollständig anzeigen.

Jetzt einen Kommentar schreiben

[o1] am ++--

Der Openwares-Patch für den Internet Explorer baut größere Löcher ein, als er beseitigt. Ein Blick der heise-Security-Redaktion auf den Quell-Code ließ nichts Gutes erahnen: Ein Puffer zum Kopieren von URLs ist auf 256 Bytes begrenzt. Längere URLs provozieren einen Buffer Overflow, mit dem sich der Stack des Systems überschreiben lässt. Erste Tests bestätigten die Vermutung. URLs mit 500 Zeichen brachten den Internet Explorer zum Absturz, prinzipiell kann ein Angreifer damit aber auch eigenen Code in das System einschleusen und ausführen, um das System unter seine Kontrolle zu bringen. Ein Test zum Überprüfen der Sicherheitslücke steht auf den Seiten des c't-Browserchecks zu Verfügung:

Test des Openwares-Patches heise Security

Die Installation des Patches ist also auf keinen Fall empfehlenswert. Anwender die den Patch bereits eingespielt haben, sollten diesen unter Einstellungen/Systemssteuerung/Software wieder deinstallieren.

Des Weiteren sendet der Patch angeklickte manipulierte Links an ein Skript auf Openwares.org. Welchen Zweck die Betreiber der Seite damit verfolgen, ist noch unklar.

[o2] am ++--

Harhar, das zum Thema OpenSource: http://www.heise.de/security/news/meldung/43084 (ab "[Update]")

[re:1] am ++--

Das darfst du nich verallgemeinern... Nur weil ein Patch auf ein Programm, dessen Quellcode man sowieso nicht einsehen kann, nicht funktioniert, heisst das noch lange nicht, dass OpenSource schlecht ist...

[re:2] am ++--

"Das darfst du nich verallgemeinern" - Doch, hier steht wieder keiner der OpenSource-Futzis gerade dafür. Gerade deswegen ist OpenSource-Gedöns nichts für mich.

[re:3] am ++--

@Gordon: Das liegt halt an der anarchischen-Organisation der OpenSource Community: Keiner ist für die Bugs verantwortlich, aber es krönt sich auch niemand mit den Erfolgen der entwickelten Software! Und: jeder kann theoretisch den Bug korrigieren, wenn er ihn raus haben möchte! -> Versuch das mal mit kommerzieller Software ("Verehrte Firma *, ich habe einen schweren Bug in ihrer Software entdeckt. Testweise habe ich ihre Software deassembliert und festgestellt, dass sie in Zeile 4968 ein | anstatt eines & verwendet haben!")

[re:4] am ++--

Antwort auf den Kommentar von Mr_Maniac: Ich habe bewusst nicht OpenSource als schlecht dargestellt, oder gar verallgemeinert. Ich hab nur gemeint, dass das bei OpenSource auch passieren *kann*. Das ganze hab ich dabei bewusst etwas spitz formuliert, aber schlecht machen will ich OpenSource auf keinen Fall. :)

[re:5] am ++--

Antwort auf den Kommentar von Lofote. Jetzt mal langsam, es geht hier um Leute, die behaupten sie seien ne OpenSource Community, wenn ich Morgen sage ich bin ein Microsoft Angestellter und verbreite irgendein Zeugs, dann ist wohl Microsoft Schuld?? Das sieht mir wieder stark nach ner Kampagne gegen OpenSource aus, denn wer ist so blöd und gibt den Quellcode raus, wenn er da ne Lücke eingebaut hat, denkt mal ein bisschen nach, das ist doch absichtlich passiert. Denn du kannst ja im vorneherein davon ausgehen, dass jemand das sofort rausfindet, wie es die Heise Mitarbeiter gemacht haben.

[o3] am ++--

NA TOLL, JETZT HAB ICH IHN SCHON INSTALLIERT!!!! GRRRRRRRRRR

[re:1] am ++--

Antwort auf den Kommentar von WebBeat .... lesen können sollte man schon (:-)) - nichts für ungut: warte in Ruhe auf den offiziellen Patch von M$ und alles wird gut.

[o4] am ++--

Die WINFUTURE Admins sollten den Artikel oder besser den Link SCHLEUNIGST entfernen, davon abgesehen das der Dreck Patch unter C:\Program Files einfach ein merkwürdiges LIVEUPDATE installiert, wird zudem unter HKLM\RUN auch noch der Scheiß Mist automatisch gestartet, der Pisser der das Ding rausgebracht hat sollte man mal so richtig eine Reinschlagen unglaublich !

[re:1] am ++--

Antwort auf den Kommentar von obermeier

ja ne...is klar!

[re:2] am ++--

Antwort auf den Kommentar von obermeier: Immer locker bleiben, nicht immer gleich poroes hier werden :)...

[re:3] am ++--

Antwort auf den Kommentar von obermeier .... Du wärest so richtig im Italo-Western.

[o5] am ++--

Ein geschickter Schlag der OS-Fraktion gegen M$ und seinen Imperialismus ^^

[o6] am ++--

Hehe... für mich beweist das nur wieder, dass es Lösungsansätze für das Problem gibt.... Vielleicht hätte Microsoft den Patch auf die selbe Weise gebaut... nur dummerweise hätten wir nicht von den erneut entstandenen Lücken erfahren, weil man nicht in den Quellcode schauen kann.... Für mich ist und bleibt Proprietäre Software das größere Flickwerk... Wer seinen code nicht später zeigen muß proggelt meißt auch nicht sauber... nicht sauber geproggelt bedeutet => keiner steigt so schnell durch => ein Patch dauert ewig.... Und warum gibt es im IE 2 Jahre alte und ewig bekannte Sicherheitslücken? ..... Manchmal kann ich über die Stumpfsinnigkeit der "Open Source ist Frickelkram" Fraktion nur noch den Kopf schütteln ... Ich wünschte solche Leute würden sich einfach mal die Patchliste der Windows RPC Schnittstelle durchlesen bevor sie so einen Mist schreiben... Dafür brauchen sie bis zum Jahr 2008 und ich hab endlich mal meine Ruhe vor diesem geistigen kleinbürgerdasein :p

[o7] am ++--

Wird bei opensource eigentlich auch geprüft, was released wird?? Scheinbar ist der offene Quellcode Rechtfertigung genug, es nicht zu tun ... einer wird die Fehler schon finden?! (Warum konnten die Progger nicht das was heise scheinbar problemlos gelang, nämlich einfach mal testen, was man den Usern "aufs Auge drücken" will). Besonders seltsam finde ich [Zitat] Des Weiteren sendet der Patch angeklickte manipulierte Links an ein Skript auf Openwares.org. Welchen Zweck die Betreiber der Seite damit verfolgen, ist noch unklar. [Zitat Ende] Sehr merkwürdig!! - Jedenfalls wissen wir jetzt, warum MS noch kein Patch released hat... Schneller ist besser? - Wohl kaum, wenn es mehr zerstört als repariert, dann lieber warten! Peinlich, peinlich....

[re:1] am ++--

wenn das ding wirklich opensource ist, wieso nutzt du nicht den vorteil und schaust selber im code nach was da passiert wenn da was angeklickt wird. wieso sollte es keiner wissen was da passiert wenn es opensource ist?

[re:2] am ++--

Antwort auf den Kommentar von DOCa Cola: Diesen "Vorteil" nutze ich schon, ich habe das "Patch" auch nicht installiert, aus Prinzip nicht. Ich installiere doch kein Patch der Konkurrenz des Produkts, das ich einsetze, das geht immer schief. (Ich würde an MS stelle eine Unterlassungsklage formulieren, damit sowas nicht mehr vorkommen kann.). Naja, ich möchte gern mal die Opensourceler sehen, wenn der Fall umgekehrt gewesen wäre und MS ein buggy Linux-Patch, o.ä. bereitgestellt hätte, dann hätte man MS sofort Absicht unterstellt... Wenn Opensource auch für 0815-User interessant sein soll, ist "schau selber im code nach..." kein Argument mehr.

[re:3] am ++--

Das was du hier schreibst ist der größte Müll den ich je gehört habe.... Wieso ist denn jemand der einen Patch kostenlos in seiner Freizeit erstellt und den Code offen legt = Konkurenz? Es ist doch absolut nichts anderes als wenn jemand die Datei im Binärformat zur verfügung gestellt hätte. Und was macht denn Microsoft Produkte überhaupt sicher? NORTON Antivirus? NORTON Personal Firewall? Ohne diese Fremdprodukte geht nix bei Microsoft... Es gibt sogar Urteile bei denen Hacker eines Systems freigesprochen wurden, weil es schon als fahrlässig gilt Microsoft nicht mit extra fremdsoftware abzusichern... Und wer versichert dir überhaupt, dass Microsoft in seine Patches nicht genau den gleichen Müll einbaut? Ich kann dir eigentlich nur den Tip geben mal die Liste der RPC Bugs/Löcher zu lesen. Da wird seit Windows NT nur dran geflickt und es haben immer wieder Würmer wie Blaster und Co die Möglichkeit diesen Punkt anzugreifen.... nennst du das einen sicheren Patch? Bitte erstmal nachdenken was du schreibst und lern mal den Unterschied zwischen Konkurenz, Proprietärtär, Binär und OS.

[re:4] am ++--

Antwort auf den Kommentar von ich:
"Das was du hier schreibst ist der größte Müll den ich je gehört habe...."
Das "Kompliment gebe ich ungebraucht an dich zurück, du bist ja scheinbar sowas wie ein Experte, was Müll-Posts betrifft: ...Urteile bei denen Hacker... Nenn mir eins! Du solltest deine "Regel":Erst denken dann schreiben mal zuerst bei dir anwenden, als Vorbild, sozusagen :-)

[re:5] am ++--

*löl* Viel Lärm um nichts, denn außer mich persönlich angreifen zu wollen hast du ja nix drauf.... zu deiner Frage schau doch mal in die IX Ausgabe 6/2000 Seite 78 ... da ist ein sehr schöner Artikel über grobe fahrlässigkeit und wer sich wann schuldig macht. Des weiteren ist nicht umsonst der Hacker freigesprochen worden, der das System des Hafens in Houston/Texas gehackt hat. Reiß also besser nicht gleich deine klappe soweit auf, wenn du keine Ahnung hast. Ansonsten blubber mit deinem Schulwissen gerne weiter, ich äußer mich ab jetzt nicht mehr dazu, denn dein letztes posting fand ich schon dümmlich genug. Nichts für ungut :-)) ... Ich

[re:6] am ++--

*lol* außer mir jetzt dümmlich deinen gekränkten Stolz präsentieren zu müssen fällt dir wohl nichts ein. Nun gut... IX 6/2000 Seite 78... sehr interessanter Artikel über grobe Fahrlässigkeit bei Firewallloser Internetnutzung .... Und die Umstände die zum Freispruch des Hackers führten, der das System des Hafens von Houston gehackt hat sollte man sich auch einmal zu gemüte führen.... Ähnlich wie die zwei russischen Hacker, die sich über Monate Geld von Überweisungen von Gehaltzahlungen in Cent Höhe bedient haben, wo allerdings nie endgültig etwas geklärt wurde, da es keine Firewall Logs gab... Wenn du zu minderbemittelt bist dir weitere Infos zu googlen, dann tuts mir leid, aber dann blök auch nicht weiter mit deinem 0815 Schulwissen hier rum... zumal du sowieso bei meinem Posting auf den unwichtigsten Punkt eingegangen bist, der nur entfernt ztum Thema gehörte....Aber so ist das bei kleinen Kindern... Wenn man sich verspricht dann lachen sie sich kringelig und freuen sich, dass jemand sich nicht gleich richtig ausgedrückt hat.... Nichts für Ungut:-)))) Ich

[re:7] am ++--

[re:8] am ++--

lol* außer mir jetzt dümmlich deinen gekränkten Stolz präsentieren zu müssen fällt dir wohl nichts ein. Nun gut... IX 6/2000 Seite 78... sehr interessanter Artikel über grobe Fahrlässigkeit bei Firewallloser Internetnutzung .... Und die Umstände die zum Freispruch des Hackers führten, der das System des Hafens von Houston gehackt hat sollte man sich auch einmal zu gemüte führen.... Ähnlich wie die zwei russischen Hacker, die sich über Monate Geld von Überweisungen von Gehaltzahlungen in Cent Höhe bedient haben, wo allerdings nie endgültig etwas geklärt wurde, da es keine Firewall Logs gab... Achja... nur nebenbei... kleine Kinder springen auch immer auf absolut nebensächliche Kleinigkeiten in einem Gespräch an.... a) war das mit den Hackern ein Beispiel zum Ernst der Lage, die man kaum bestreiten kann und b) durchaus durch viele andere Dinge ersetzbar... scheinst du aber nicht geblickt zu haben ... Nichts für Ungut :-)))) Ich

[re:9] am ++--

[re:10] am ++--

[re:11] am ++--

[re:12] am ++--

[re:13] am ++--

[re:14] am ++--

[re:15] am ++--

[re:16] am ++--

[re:17] am ++--

[re:18] am ++--

[re:19] am ++--

[re:20] am ++--

[re:21] am ++--

[re:22] am ++--

[re:23] am ++--

[re:24] am ++--

IX 6/2000 S.78 zum einen und Houston Habor Hacker zum anderen. Hier hast du deine Beispiele... finde es aber äußerst bezeichnend, dass du dich wie ein kleines Kind über das absolut nebensächlichste in meinem Posting hermachst... geh wieder spielen Junge, wenn du nichtmal weißt wie OpenSource funktioniert, dann reichst du mir eh nicht das Wasser :-)))

[o8] am ++--

Komm mal wieder runter, kleiner.
P.S. Du wiederholst dich, Ciao :-))

[re:1] am ++--

Als ob ich was dafür könnte wenn das Kommentar System nicht funzt.... Aber wenigstens hast du wieder einen schlauen Kommentar dazu bereit... Inhaltslos wie der Rest den du schreibst auch... Habe auch nichts anderes erwartet :))) Mr. "Wird bei opensource eigentlich auch geprüft, was released wird" *lol* Gebt mir die blaue Pille bitte *scharr*