Rui Quintino

.Net & afins

My Links

News



Reading...

Favorites

Archives

Post Categories

Image Galleries

Login

Blog Stats

Microsoft Security Advisory (917077) - IE createTextRange

Normalmente não sou de grandes alarmes no que diz respeito a falhas encontradas nos browsers... mas cada caso é um caso, e dados os agravantes, este é certamente um daqueles em que vale a pena estar de sobreaviso.

Microsoft Security Advisory (917077) -Vulnerability in the way HTML Objects Handle Unexpected Method Calls Could Allow Remote Code Execution
http://www.microsoft.com/technet/security/advisory/917077.mspx

http://secunia.com/advisories/18680/

-Pela informação que está disponível os exploits começaram a circular no mesmo dia que o da publicação do problema... o que reduz bastante o tempo útil para o lançamento do patch, o tempo não corre mesmo nada a favor

-Até ao lançamento do patch a única forma de protecção é desactivar/pedir autorização do active scripting (ainda que com as implicações óbvias de funcionalidade :( ) .

Como nós programadores temos a merecida :) reputação de corrermos tudo com privilégios exagerados, fica a nota. Vejam o advisory e estejam atentos.

Alguma informação adicional aqui:
http://msmvps.com/blogs/harrywaldron/archive/2006/03/25/87761.aspx

posted on Sunday, March 26, 2006 1:26 AM

Feedback

# re: Microsoft Security Advisory (917077) - IE createTextRange 3/26/2006 6:51 PM Pedro Rainho

Só tenho duas perguntas...
Quem é que ainda usa IE????
Qual a novidade de ter saiudo um script que tira partido da vunerabilidade????

Como programador já devias saber que existem alternativas melhores... é necessário expandir os horizontes

# re: Microsoft Security Advisory (917077) - IE createTextRange 3/26/2006 7:18 PM RQ

Olá Pedro,

Estava aqui a contar os minutos até esse 1o feedback. :)

Quanto à 1a, eu uso o IE, assim como outros browsers, vou continuar a usar IE por várias razões.... e apenas olhando aos factos, o IE é de longe o browser mais usado.

O scope desta falha especifica é razoavelmente mais grave do que o normal, principalmente dado que apenas requer execução de script... e o exploit começou a circular quase imediatamente. (mas tudo isto está bem presente nos vários links)

Quanto às outras alternativas :) ... é uma discussão sem fim, que não vou encorajar dado que não era esse o intuito do post, cada cabeça sua sentença. :) Existirão outros locais mais apropriados para esse tão apimentado debate. :)

Title  
Name  
Url
Box Code
Protected by FormShield
Comments