Newsgroup: it.comp.os.linux.sys
Titolo: [OT] Corretta una gravissima falla di sicurezza in KDE per Linux: esecuzione di codice arbitrario da remoto

E' stata corretta una gravissima falla di sicurezza in KDE per Linux
che permette di eseguire codice arbitrario da remoto.
http://www.frsirt.com/english/advisories/2006/0265
Questa falla consiste in un overflow dell'heap nel motore
dell'interprete JavaScript che viene scatenato durante la decodifica di
speciali URI appositamente creati ad hoc. Questo consente agli
aggressori, tramite una semplice pagina web, di eseguire codice
arbitrario da remoto e compromettere il sistema.
Notare come la falla sia stata segnalata ed assegnata su CVE il 20
dicembre 2005
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-0019
 vedi
scritta: "Assigned (20051220)" e il bollettino pubblicato sui vari siti
di sicurezza solo dopo che è stata rilasciata la patch cioè il 20
gennaio 2006 cioè dopo ben 1 mese dalla segnalazione.
Ecco come fanno a dire gli "open-sorciari" che per loro le patch escono
subito... perchè il bollettino sui siti di sicurezza esce solo dopo
che è disponibile la patch, ma dalla scoperta fino alla patch può
passare anche 1 mese o più... più o meno lo stesso tempo che ci
impiega Microsoft quando rilascia le patch di sicurezza mensili.
continua su 
http://punto-informatico.it/p.asp?i=57441&r=PI
Saluti da P4

 che permette di eseguire codice arbitrario da remoto.
La falla è (ERA) in Konqueror, non in KDE, sempre che il tuo mononeurone 
comprenda la differenza.
Konqueror è un browser. E quanto a browser, forse ti conviene star 
zitto, che dici ? o parliamo di IE, che ha ridefinito lo STANDARD
dell'insicurezza ?
ciao, f.

 
non ancora corretta questa falla,  come la mettiamo?
http://www.f-secure.com/weblog/archives/archive-012006.html#00000787
a questo hanno anche messo un contatore online per ogni pc che si infetta,
fantastico
-- 
vieni, facciamo ancora un'altra foto col colombo in mano.
sarai contenta quando poi tua cugina lo vedrà 
che a venezia siamo stati anche noi...

 dell'insicurezza ?
Primo premio pecorone 2006!
-- 
  Daniele Orlandi

 non ancora corretta questa falla,  come la mettiamo?
Secondo premio pecorone 2006!
-- 
  Daniele Orlandi

 comprenda la differenza.
Ma che cazzate spari?
http://www.frsirt.com/english/advisories/2006/0265
"A critical vulnerability has been identified in KDE, which could be
exploited by remote attackers to execute arbitrary commands"
"KDE "kjs" UTF-8 Encoded URI Handling Remote Buffer Overflow
Vulnerability"
http://secunia.com/advisories/18500/
Solution:
Apply patches.
KDE 3.4.0 - 3.5.0:
ftp://ftp.kde.org/pub/kde/security_patches/post-3.4.3-kdelibs-kjs.diff
ecc0ec13ce3b06e94e35aa8e937e02bf
KDE 3.2.0 - 3.3.2:
ftp://ftp.kde.org/pub/kde/security_patches/post-3.2.3-kdelibs-kjs.diff
9bca9b44ca2d84e3b2f85ffb5d30e047
Ci sono altri dubbi?
Saluti da P4

 Secondo premio pecorone 2006!
scusate, non mi ero accorto che aveva messo il followup su icols 


 Ci sono altri dubbi?
Si, peccato che Konqueror faccia parte integrante di KDE.

 Si, peccato che Konqueror faccia parte integrante di KDE.
KDE è una suite.
Un bug di explorer, triggerato via javascript, lo definiresti un "bug"
DI WINDOWS ?


 Saluti da P4
Sei OT, coglione!
-- 
Gordon Freeman, Linux User #332250 on attila, Linux Machine #305615.
http://www.counter.li.org/
http://www.slackware.com/getslack/