Newsgroup: it.comp.os.win.xp
Titolo: Nuova vulnerabilità in IE

http://www.eweek.com/article2/0,1759,1891749,00.asp?kc=EWRSS03119TX1K0000594
un bell'exploit già pronto per questa nuova bella falla di IE
Al momento non ci sono patch, per risolvere sembra che basti 
disabilitare javascript
Spero che sia utile a chi (ancora) usa IE
Ciao
Luca

 un bell'exploit già pronto per questa nuova bella falla di IE
è già pronto perchè diffuso da chi ha scoperto la falla, altrimenti
col cavolo che c'era un exploit! E' da incoscienti diffondere un
exploit di una falla scoperta senza prima contattare Microsoft, vista
la gravità!!!
Saluti da P4

 arrivi tardi, l'ho già segnalata ieri :-)
Visto, ma il news server di tin decide cosa devo vedere e cosa no :-/
Io la notizia l'ho letta prima
Luca

 la gravità!!!
Dato che alcuni ricercatori si sentono presi per i fondelli da alcune
società che ci impiegano mesi per produrre una patch (magari nemmeno
funzionante come con Oracle), alcuni si sono ribellati e non seguono la
responsible disclosure. Non sono irresponsabili, semplicemente così le
falle vengono corrette più in fretta e loro ottengono comunque il
risultato voluto.
Speriamo che Microsoft si rimbocchi le maniche e distribuisca una fix
anche se non siamo all'8 di dicembre. Sarebbe da incoscienti non
rilasciare una patch per rispettare le scadenze mensili quando tutto il
mondo sa che esiste una vulnerabilità.
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 la gravità!!!
M'era sfuggito:
http://www.computerterrorism.com/research/ie/ct21-11-2005
5. VENDOR STATUS
The original DoS vulnerability was brought to the public's attention on
the 31/05/2005 by Benjamin Tobias Franz. To date, the vendor has failed
to publicly acknowledge the presence of the flaw, or provide any
timescales for an appropriate fix. Accordingly, as of the date of this
document, this vulnerability remains UNPATCHED, affecting all users of
Microsoft Internet Explorer version 5.5 and 6.x respectively.
Quindi Microsoft era a conoscenza del problema sin da maggio e non lo ha
ancora patchato reputandolo evidentemente poco importante.
A questo punto chi è irresponsabile?
Microsoft che non corregge un baco per 6 mesi o chi crea un exploit
dimostrativo per dargli una mossa?


 A questo punto chi è irresponsabile?
A maggio chi ha scoperto il bug ha riferito a Microsoft che era solo un
problema di crash e che non c'era la possibilità di esecuzione di
codice arbitrario da remoto. Solo dopo 6 mesi, cioè in questi giorni,
è stata scoperta questa possibilità di eseguire codice arbitrario da
remoto.
Saluti da P4

 remoto.
Sei sicuro che ciò sia stato scoperto solo ora? CHI mi assicura che già
dopo pochi giorni dall'uscita della fix qualche crew di script kiddies
non avesse pronto un'exploit e stesse attendendo solo il momento giusto
per sfruttarlo?
Per me l'unica cosa certa è la superficialità con cui è stato affrontato
il problema; resta da vedere quale delle 3 alternative sopra esposte sia
quella corretta, anche se personalmente sono sospinto verso l'ipotesi "c".


 A questo punto può significare solo due cose:
Errata corrige: "A questo punto possono esserci solo 3 spiegazioni:"
