Newsgroup: it.comp.sicurezza.windows
Titolo: FYI: nuovo bug in IE, mai fidarsi delle estensioni... (lungo)

Salve a tutti.
Spiacente di disturbarvi di nuovo, (scusate la lunghezza) ma mi pare
importante.
<bugtraq>
...
A piece of HTML can be used to cause a normal download dialog to pop 
up.
              The  dialog would prompt the user to choose whether he/she
wants to 
              "open
              this file from its current location" or "save this file to
disk". The
              file  name and extension may be anything the malicious
website
              administrator (or a user having access there) wishes, e.g.
README.TXT,
              index.html, or sample.wav. If the user chooses the first
alternative,
              "open the file from its current location", an .EXE
application is
              actually run without any further dialogs. This happens
even if
              downloading a normal .EXE file from the server causes a
Security 
              Warning
              dialog.
              The user has no way of detecting that the file is really
an .EXE
              program and not a text, html, or other harmless file. The
program could
              quietly backdoor or infect the user's system, and then pop
up a window
              which does what the user expected, ie. show a text
document or
              play an audio file.
...
WORKAROUNDS
              Opening a file type previously considered safe, e.g. plain
text or HTML
              file isn't safe with IE. Users of the browser should avoid
opening
              files directly and save them to disk instead (if opening
them is
              necessary at all). If this flaw is being exploited, the
file save 
              dialog
              will reveal that the file is actually an executable
program. Dealing 
              with
              files from an untrusted source isn't advisable anyway.
Another 
              workaround
              is switching to another browser such as Opera or Netscape
which don't
              seem to have this vulnerability.
              VENDOR STATUS
              Microsoft was contacted on November 19th. The company
doesn't currently
              consider this is a vulnerability; they say that the trust
decision 
              should
              be based on the file source and not type. The origin of
the file, ie. 
              the
              web server's hostname can't be spoofed with this flaw.
It's not known
              whether a patch is going to be produced. Microsoft is
currently
              investigating the issue.
</bugtraq>
Mi pare scandaloso il comportamento di Microsoft, che minimizza. Non si
prevedono a questo punto patches nell'immediato (IMVVVHO); l'unica cosa
da fare, e' non aprire cio' che si scarica neppure se si tratta di un
readme.txt (diciamo un sample.wav, visto che tanti i readme non li legge
nessuno)... oppure cambiare browser.
Vige la previsione del precedente post. :)
HappyCactus
-- 
Keyboard not present or keyboard error
Press F1 to resume

Vige la previsione del precedente post. :)
Vige che io i siti li visito con mozilla da Linux e solo in casi molto
radi e sporadici uso windows in internet.
Insomma, riassumiamo il tutto:
Mail senza allegati possono infettare alla sola apertura (Badtrans.B).
Internet Explorer puo' essere usato solo disabilitando ActiveX (post
tuo precedente) e Script vari (Nimda e compagnia).
Tradotto:
Un povero utente windows che ha comprato il pc da poco e non sa
granche' di informatica, e che usa solo i programmi preinstallati
perche' non sa dove trovare altro rischia di farsi infettare nella
prima settimana di possesso del pc.
Situazione reale:
In molte aziende (come quella dove lavoro adesso) non e' possibile
installare programmi diversi da quelli distribuiti all'interno
dell'azienda, che di solito non comprendono un client di posta, news o
browser.
Chiunque sviluppi in VB o altri linguaggi che usano librerie (DLL)
condivise di windows e sviluppa in gruppo di lavoro non puo'
autonomamente eseguire aggiornamenti tramite windowsupdate (a meno che
non faccia espressa richiesta in modo che TUTTO il gruppo di lavoro
sia aggiornato alla pari)
Dal momento che il server di posta aziendale esegue una scansione
della posta in arrivo, non e' piu' considerato necessario
l'aggiornamento costante degli antivirus dei pc degli utenti, che
pero' si scaricano la posta privata in ufficio con Outlook (express o
2000)
E Microsoft deve anche minimizzare la questione?
Non si tratta di piu' di essere svegli e non clickare sugli allegati,
qui si tratta di non aprire mail, non visitare siti eccetera...
Inapplicabile.
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Chi lavora avvelena anche te, digli di smettere - DElyMyth@work

 Inapplicabile.
Con la politica M$, no. Conuna software house normale, magari...


Con la politica M$, no. Conuna software house normale, magari...
La politica M$ impedisce a me (fino a fine settimana sviluppatore
-guardacaso- M$) di lavorare.
Oppure me ne frego, lavoro e mi tengo il sistema cosi' com'e', backup
frequentissimi, dita perennemente incrociate, scongiuri di ogni genere
e anche qualche preghierina in aramaico antico.
Anche con la loro politica non e' molto applicabile il tutto, a meno
di non accettare di farsi impestare.


 Ti funziona bene mozilla?
A me da schifo.
Ho ripiegato su, ahime', Opera.
Qualcuno ha valide alternative?
f/up to poster
-- 
Not in my name, bloody war pigs!

 Ho ripiegato su, ahime', Opera.
non ti soddisfa? anch'io uso opera, dopo aver rimosso IE, ma se devo 
dirti la verita' lo trovo un po' scassacazzi... pero' e' molto semplice.
-- 
http://members.xoom.it/werted

 Non e' free.
c'e' anche la free.
-- 
http://members.xoom.it/werted

 Qualcuno ha valide alternative?
Dopo numerossisimi test ho dovuto conludere, mio malgrado, che il 
webbrowser più compatibile tra mozilla, opera, e IE è purtroppo 
proprio IE. Mozilla si impantana sui siti con i CSS non perfetti, 
Opera idem ed ambedue visualizzano i siti CSS sbagliando le 
coordinate degli oggetti. IE invece se ne strafrega di errori nel 
codice e prosegue imperterrito. Questo è un pregio, perchè sul web 
non devono esserci i sorgenti PERFETTI, non si tratta di distribuire 
applicazioni....
-- 
News2000 1.5ß Version 
http://socket2000.8m.com

 IE e' dunque impraticabile.
Io passo il 100% del mio tempo non lavorativo su linux, mentre a lavoro
vado di NetScape 4.7x... speravo che Mozilla per Linux risolvesse il
problema, ma nulla. Opera non e' open source e mi pare neppure free?!?
comunque ho provato ad installarlo ma mi dava qualche problema (ICEWM),
anzi, non partiva per nulla.
Che resta?
-- 
HappyCactus - Registered Linux User #209744
Keyboard not present or keyboard error - Press F1 to resume

Non e' free.
Uh?
-- 
| Claudio Galeota ( 
wal...@despammed.com
 )
| "I look at you all, see the love there that's sleeping...
| while my guitar gently weeps" (George Harrison, 1943-2001)

 I buchi di sicurezza ricorrenti sono, pero', agghiacianti.
Quello è lo scotto da pagare...
