Internet Explorer 7: Wie steht es um die Sicherheit?

@stadtschreiber: die auf dem kern des ie 6 basiert! - wenn der ie sicher werden soll, dann müsste er von grund auf neu geschrieben werden ...

IBTD: Die Lücke mit dem Reference-Caching dürfte eine Überarbeitung von ca. 40 des gesamten Codes erfolgen und ist offensichtlich nicht erfolgt.

@einsteinchen: ACK. Bei mir läuft die IE7 beta2 saugut. Das ist der
erste "MS-Ex", der mir gefällt, flott und chic. Eine echte Alternative
zum SeaMonkey 1.0, meiner Referenz :)

@TobWen: was hat denn ein fuchs mit einem panda zu tun? Feuerfuchs = Firefox

@renegade98: Firefox=roter Panda, siehe http://de.wikipedia.org/wiki/Firefox

@Alirion: man lernt ebend nie aus - thx

Macht der IE ebenfalls. Das ist ja der Grund, warum es überhaupt als DoS gezählt wird. Außerdem stürzt der IE wirklich ab, d.h. es ist nicht möglich, einfach nur abzuwarten und die Seite wieder zu schließen.

@Rika: Das verstehe ich nicht ganz. Er fragt also nach, stürzt aber trotzdem ab?

@sp4rkle: Ja, wie Rika schon sagt, der IE stürtzt nicht ab. Er kommt mit einer Meldung, die von einem "stack overflow" berichtet. Diese Meldung enthält allerdings nur einen OK-Button und kommt aber unendlich. Daher stürtzt der IE zwar nicht wortgemäß ab, aber er lässt sich auch nicht mehr verwenden, weshalb ein Taskkill erfolgen muss.

@Rika: Weisst du näheres in Sachen Cross-Site-Scripting?

http://www.drorshalev.com/SafeCenter/crosszone/ie/SaveRef.htm, http://www.securityfocus.com/archive/1/301945

@jackattack: Ich wollte es absichtlich nicht in der News nennen, damit der Browserkrieg nicht weitergeht. Aber Firefox hat sie brav erkannt und uns den echten Link angezeigt. Wir konnten ihm nichts unterjubeln, echt traurig. ;-)

@yagee: Also wo du Recht hast hast du Recht. Der Screenshot allein beweist überhaupt nichts! Vielleicht solltet ihr mal die unkenntlich gemachte URL veröffentlichen, damit es andere IE7 Beta2 Preview Tester direkt nachvollziehen können ... oder halt mal den Quellcode dieser Page im Forum veröffentlichen.

Man kann den Statuszeilentext nicht ändern, wenn JavaScript deaktiviert ist und der Zugriffs auf window.status und window.defaultStatus anderwaltig (Filter, Policies) unterbunden ist. Daher funktioniert das ganze auch bei Outlook. Das benannte Problem ist aber erst der Anfang des Hacks: Die neue Webseite kann man ohne Adressleiste öffnen und diese mit einem geeigneten Script hervorragend nachstellen. Eigenschaften-Dialog und Titelleiste kann man ebenfalls manipulieren, die Statusleiste wird ebenfalls durch ein Script emuliert.