|
 |
|
Internet Explorer afslører følsom information
|
|
|
|
|
Secunia Advisory:
|
SA8955
|
|
|
Udsendt:
|
2003-06-06
|
|
Sidste Opdt.:
|
2004-12-07
|
|
|
Kritisk:
|
Moderat kritisk
|
|
Betydning:
|
Afsløring af følsomme oplysninger
|
|
Hvor:
|
Fra Internet
|
|
Løsning Status:
|
Delvist Løst
|
|
| Software: | Microsoft Internet Explorer 6.x
|
|
|
|
|
|
Beskrivelse:
Der er identificeret en sårbarhed i Internet Explorer der afslører følsom information til "msn.com" og "alexa.com".
Selvom dette er en kendt egenskab for Internet Explorer når funktionen "Show Related Links" er aktiveret, er der en fejl, der gør at Internet Explorer vil fortsætte med at sende data til Alexa.com efter at "Show Related Links" er deaktiveret. Dette sker hver gang "Ctrl+R" bruges til at reloade en side.
Problemet bliver ikke bedre af at dette også berører SSL sider. En ting er at Microsoft har lavet en "funktion" der sender information til "msn.com" og "alexa.com", men det faktum at information der skulle være beskyttet af SSL og kun sendt til et site, sendes i klar tekst til en tredje part ("msn.com" og "alexa.com") giver grund til bekymring.
Den information der sendes til "msn.com" og "alexa.com" er den komplette URL. I nogle tilfælde kan URLen indeholde følsom information som brugernavn, password, session id, søge streng, "hemmelige stier" med mere.
Dette er bekræftet for Internet Explorer 6 på Windows 2000 Windows XP med alle Service Packs og hotfixes.
Det er Microsoft der bestemmer hvem der udover "msn.com" skal se informationen, Microsoft kan til enhver sende denne information til andre end "alexa.com".
Løsning:
Sårbarheden er rettet i Windows XP SP2.
Filtrerer al trafik i din firewall således, at der ikke kan sendes data til "msn.com" og "alexa.com".
Benyt ikke "Show Related Links", eller luk browseren efter at have benyttet funktionen.
Se "Andre Kilder" for andre alternative løsninger.
Rapporteret af / Kredit:
Mike Shepherd
Forløb:
09-06-2003: Mindre ændring. Tilføjet link til alternativ løsning.
07-12-2004: Tilføjede information om Windows XP SP2 i løsningen.
Andre Kilder:
http://www.imilly.com/alexa.htm#subvert
|
|
|
|
|
Please note: The information that this Secunia Advisory is based on comes from a third party unless stated otherwise.
Secunia collects, validates, and verifies all vulnerability reports issued by security research groups, vendors, and others.
|
|
|
|
124 Relaterede Secunia Advisories, displaying 10
|
|
|
1. Internet Explorer flere sårbarheder
|
|
2. Microsoft "Web Proxy Auto-Discovery" feature sikkerhedsproblem
|
|
3. Internet Explorer uspecificeret addressbar-spoofing
|
|
4. Internet Explorer "OnKeyDown" fokus-svaghed
|
|
5. Microsoft Internet Explorer afsløring af FTP login-oplysninger
|
|
6. Microsoft Internet Explorer flere sårbarheder
|
|
7. Microsoft Windows Vector Markup Language buffer overflow
|
|
8. Internet Explorer flere sårbarheder
|
|
9. Internet Explorer side-loading race condition og URL-spoofing
|
|
10. Internet Explorer flere sårbarheder
|
Vis alle relaterede advisories
|
|
|
Send Feedback to Secunia
|
|
Hvis du har ny information angående dette Secunia advisory eller et produkt i vores database, så send det venligst til os. Du kan sende det til os enten ved at bruge vores web formular eller ved at sende det til vuln@secunia.com.
Ideer, foreslag og andet feedback er også meget velkommen.
|
|
|
|
|
|
Secunia PSI
Scan | Patch | Track
Free Download
|
|
|
Secunia Poll
|
|
|
|
|
 |
|
|
Most Popular Advisories
|
|
|
|
|
|
