Alvorlig skriptfeil i Internet Explorer fortsatt åpen

Klikker du på "Hotfix & Security Bulletin Service" i venstre marg, får du en omvendt kronologisk oversikt over sikkerhetsbulletinene.

På serversiden er det snakk om en liten feil på ISAPI-filteret på Commerce Server 2000, i form av en usjekket buffer som åpner for tjenestenektangrep. Den andre feilen på serversiden er også en bufferfeil, i SQL Server 7.0 og 2000. Risikoen vurderes som "moderat", men man oppfordres likevel til straks å installere fiksen.

På klientsiden er det først og fremst snakk om en hittil ukjent feil i måten Internet Explorer håndterer skript, i utgavene 5.01 til 6.0 for alle aktuelle Windows-utgaver.

Feilen gjør det mulig for et ondsinnet nettsted å kapre informasjon på brukerens lokale disk, eller som brukeren legger igjen på andre nettsteder, etter å ha vært innom det ondsinnede stedet.

Microsoft skriver i sin advarsel at det kan gjerne dreie seg om brukernavn, passord og kredittkortinformasjon.

Tilgang til offerets harddisk fordrer at inntrengeren vet nøyaktig navn på filer og kataloger, og gjelder bare lesing av filtyper som kan vises i en nettleser. Word-filer, regneark og presentasjoner kan med andre ord ikke rammes gjennom denne metoden, og den kan ikke brukes til å flytte, slette eller endre filer.

Microsoft legger til at sårbarheten kan også utnyttes gjennom å sende e-postmeldinger i HTML-format.

Den siste feilen Microsoft har lagt ut fiks for, gjelder XML Core Services 2.6 eller nyere. Dette er en tjeneste som tidligere ble tilbudt for seg, men som også er integrert i Windows XP, Internet Explorer 6.,0 og SQL Server 2000. Sårbarheten synes størst på klientsiden, men fiksene anbefales også på serversiden. Det advares at du kan ha flere aktive instanser av XML Core Services på samme maskin.

Sårbarheten gjelder feil i hvordan tjenesten håndterer sikkerhetsinnstillingene i nettleseren. I likhet med skripthullet, er det bare snakk om lesing av informasjon på ofrets disk for den som vet nøyaktig navn på både fil og mappe. I motsetning til skripthullet, kan XML-hullet ikke utnyttes gjennom e-post.

Newsbytes peker på at Microsoft fortsatt mangler en fiks for en sårbarhet døpt "Popup Object" og som en medarbeider i eEye Digital Security Team offentliggjorde i en egen advarsel datert 10. januar i år. Dette er en feil i Internet Explorer 6.0 som lar utenforstående kjøre vilkårlig valgte lokale programmer på offerets maskin, forutsatt at offeret lar seg lokke til en spesielt tilrettelagt webside.

Denne sårbarheten er ennå ikke anerkjent av Microsoft.

En refleksjon man kan gjøre seg på grunnlag av disse siste sikkerhetshullene, er at Internet Explorer 6.0 ser ut til å være mer sårbar enn forgjengeren 5.5.