Ernstig beveiligslek in Microsoft Internet Explorer

Microsoft heeft eerder deze week bekend gemaakt dat een beveiligingsfout in Internet Explorer mogelijk gebruikt kan worden om ongevraagd programmacode te draaien op het systeem van een slachtoffer. De renderer van de populaire browser, die onder andere gebruikt wordt door Outlook, heeft problemen met het afhandelen van bepaalde ongewone types waardoor deze automatisch worden uitgevoerd. Alleen het lezen of previewen van een mailje is daarom al voldoende om eventuele backboors en virussen te activeren. Zowel versie 5.01 (behalve Service Pack 2) als 5.5 zijn kwetsbaar voor het lek. Microsoft heeft dan ook een patch uitgebracht:

Because HTML e-mails are simply web pages, IE can render them and open binary attachments in a way that is appropriate to their MIME types. However, a flaw exists in the type of processing that is specified for certain unusual MIME types. If an attacker created an HTML e-mail containing an executable attachment, then modified the MIME header information to specify that the attachment was one of the unusual MIME types that IE handles incorrectly, IE would launch the attachment automatically when it rendered the e-mail.

An attacker could use this vulnerability in either of two scenarios. She could host an affected HTML e-mail on a web site and try to persuade another user to visit it, at which point script on a web page could open the mail and initiate the executable. Alternatively, she could send the HTML mail directly to the user. In either case, the executable attachment, if it ran, would be limited only by user’s permissions on the system.

Thor-korenwolf was één van de vele submitters.

Reacties (46)

[jp]

Om dat van die foute mailtjes te voorkomen... kun je niet gewoon in de rules van Outlook instellen dat hij zowiezo mailtjes van het type "html" weigert?
(Heb ik toch nooit het nut van gezien, geef mij maar mailtjes in plain text .)

(Voor deze fout is een patch uitgebracht, maar voor zover ik weet gaan alle fouten van Outlook zo ongeveer over HTML mails, en die zou je dan keurig allemaal afvangen..

[alt-92]

Helaas, dat gaat zowel in Outlook als Outlook express niet.

Zelfs al zet je in je options alles op plain-text, komt er een HTML mail binnen dan wordt-ie gerendered

[Verwijderd]

Ik meen me te herinneren dat er enige tijd geleden een discussie gaande was dat de Mac-versie wel de faciliteit had om HTML uit te schakelen, terwijl de Windows-versie die niet heeft. Uiteraard ging de hele discussie toen ook over de veiligheid (of het gebrek eraan) van HTML in je email.

Nee, is het antwoord dus.

[alt-92]

Tested Versions:
Microsoft tested IE 5.01 and IE 5.5 to assess whether they are affected by this vulnerability. Previous versions are no longer supported and may or may not be affected by this vulnerability.

http://www.microsoft.com/technet/security/bulletin/M S01-020.asp

IE 6 is niet getest hierop (tis bovendien Beta).
Je kunt wel verwachten dat deze zware bug in de final net zoals 5.01sp2 is gefixed.

[blade181]

Nou ja heb die update net geprobeerd op IE6 en nou ja het zei dat er geen update nodig was dus ik ga inderdaad vanuit dat microsoft het al eerder wist van deze beveiliginslek en die patch al geimplementeerd heeft in IE6.

[Dr. Boktor]

Ik heb de update geprobeerd te installeren op een verkeerde versie van IE in Windows 2000. Toen zei die ook dat de update niet nodig is, dus blijkbaar is het toch versie-afhankelijk, of hij zegt dat de update nodig is...

[procyon]

een goede firewall blijft onmisbaar

[Verwijderd]

Sorry maar jullie beide opmerkingen slaan nergens op.

1. Een firewall laat mail gewoon door (mits hiervoor geconfigureerd). Alleen een firewall die kan samenwerken met een virusscanner zoals b.v. een Checkpoint Firewall1 met Trend Interscan VirusWall via OPSEC CVP kan zo'n virus blokken maar dan is het nog steeds niet de firewall die de virusscan doet.

2. Op een firewall ga je geen mail zitten lezen. Die installeer je en blijf je verder met je tengels af. Het is geen werkstation.

3. Op een (goede) firewall draait zowieso geen Windows als OS en ga je al helemaaaaaal niet met
Outlook of zo zitten vrotten. Een firewall is een black box. Die staat een beetje de firewall uit de hangen en verder doet ie niets anders.

4. Mensen die het met bovenstaande punten niet eens zijn snappen niet hoe een professioneel ingerichte firewall hoort te werken.

5. Dit klinkt allemaal een beetje bot en onsympatiek maar de misverstanden over firewalls e.d. worden over het algemeen veroorzaakt door onjuiste (hoewel goed bedoelde) informatie.

[cyclone]

Dan wil ik toch nog even doorzeuren .. als we dan toch bezig zijn ...

2. Op een firewall ga je geen mail zitten lezen. Die installeer je en blijf je verder met je tengels af.

Klopt niet .. een goede firewall behoeft iedere dag controle en eventuele patches die zijn uitgekomen danwel voor het OS of de Firewall software.
En als je een beetje beheerder bent loop je ook iedere dag even de logs na of er geen vervelende mensje bezig zijn geweest om van binnen danwel buiten het netwerk om je Firewall te omzeilen of om zeep te helpen

Dus na installatie is een Firewall misschien wel het meest beheer intensieve onderdeel ( op de backup na ) van je gehele netwerk

3. Op een (goede) firewall draait zowieso geen Windows als OS en ga je al helemaaaaaal niet met

En dan toch Checkpoint firewall 1 noemen .. welleens opgevallen dat deze jongens hun firewall OOK op NT4 laten draaien ? dus hiermee spreek je jezelf tegen.
Ieder OS heeft zijn zwakke plekken alleen van NT worden ze behoorlijk gehyped maar ook divers linux distributies zijn niet echt waterdicht te noemen.
Kortom het is gewoon er belangrijk om je OS up to date te houden met Service Packs, Hot fixes, Patches of andere secerity updates, en of dat nou Windows, Solaris, of BeOS is dat maakt geen reet uit. niets is perfect !

Voor de rest ben ik het wel met je eens ..

[Verwijderd]

Dat Checkpoint FW1 op NT verkrijgbaar is klopt maar er is geen hond die het verkoopt. Of.... of men heeft geen UNIX expertise en daarom leveren ze NT bakken met CP FW1 uit.

Een goede installateur kent de zwakke plekken van een bepaald OS en knalt ze dicht of gebruikt dat platform helemaal niet.
Ik flikker alle services er uit behalve SSHD (zelfs dat doe ik liever niet maar voor remote management is het onmisbaar).

En wat die mail betreft. Goede vuurmuur dozen (like mine ) monitoren zichzelf op zeer veel fronten (k'ep er dan ook aardig wat scripts enzo voor geschreven) en sturen de beheerders mailtjes als er iets loos of interessants is met het OS.
Verder heb je natuurlijk gelijk over die patches enz.

[Aaargh!]

Een firewall gaat je op wat voor manier precies hier tegen beveiligen ?

[procyon]

Door ervoor te zorgen dat eventuele backboors geen weg naar buiten vinden...

[Aaargh!]

maar als je een programma kan runnen op iemands PC kan je ook genoeg schade aanrichten, je zou b.v. ook de firewall neer kunnen halen.

[C_V_S]

En versie 6.0 Beta ? heb die ook die lek ?

[Verwijderd]

Als je eens op de link in het artikel zou drukken he...

Summary
Who should read this bulletin: Customers using Microsoft® Internet Explorer.

Impact of vulnerability: Run code of attacker’s choice.

Recommendation: Customers using IE should install the patch immediately.

Affected Software:

Microsoft Internet Explorer 5.01
Microsoft Internet Explorer 5.5
Note: Internet Explorer 5.01 Service Pack 2 is not affected by this vulnerability.

[Verwijderd]

Nou erg behulpzaam vind ik je reactie toch niet hoor.
Het lijkt me een doodnormale vraag...

Er staat niet specifiek dat 6 beta ook een patch nodig is. Er staat ok niet dat het niet zo is...
Ze hadden er dan ook even neer kunnen zetten

Note: Internet Explorer 6 beta is not affected by this vulnerability

o.i.d.

* 786562 Mecallie

[Verwijderd]

Waarom zou je een patch uitbrengen voor een beta? Die is officieel nog in de testfase, dus gebruik op eigen risico. Je kunt er wel van uitgaan dat alle bugs die nog gevonden worden niet meer voor zullen komen in de final release.

[SA]

Ja, en:

"...and MS Internet Explorer 4.0, MS Internet Explorer 3.0, MS Internet Explorer 2.0, ..... are not affected"


Niet als flame bedoeld, maar het is wat onzinnig om te melden waar het lek niet bij werkt, het enige wat relevant is, zijn de programma's die er wel gevoelig voor zijn.

[Verwijderd]

ik weet het niet hoor. maar volgens mij heeft een firewall, zoals Aaargh! voorstelt, niet zoveel nut tegen programma code die vanuit een AL BINNEN GEHAALD mailtje wordt gerund. Een goede virus scanner lijkt me beter en een beetje gezond verstand wil ook nog wel eens helpen

[Cookie]

De renderer van de populaire browser, die onder andere gebruikt wordt door Outlook, heeft problemen met het afhandelen van bepaalde ongewone types waardoor deze automatisch worden uitgevoerd

Ik wil niet trollen (ik ben Microsoft Windows-only user), maar Outlook betekent dus "kijk uit". Wel toepasselijk dus.

[EfBe]

Outlook en Outlook express gebruik laten maken van de Restricted Zones, en de security specs van Restricted Zones aanpassen zodat NIETS opstart.

Klaar

[Verwijderd]

She could host an... en Alternatively, she could send...

Zie je nou wel, er zijn ook vrouwelijke attackers ...

[Tomba]

Hmmm vaag, de Nederlandstalige patch is nog niet beschikbaar ? Ik keek nl op windows update en kon niets vinden. Verder wil ik even opmerken dat Eudora ook de renderer van IExplorer gebruikt en er dus imo ook vatbaar voor zou kunnen zijn !

[Verwijderd]

Ik heb die gare patch dus geinstalleerd (heb 5.5 sp1) en nu zijn al m'n favorieten weg, plijte, zoek!
Help