mboost-dp1
Microsoft Corporation
så dem der har opgraderet til IE10 er ikke ramt af sårbarheden.
Spændende, så kan du vel også give mig linket til download af IE10 så man kan opgradere .oO
Så sidder dansken bare tilbage og kigger på sit nemid pap og må finde sig i at java fortsat er et krav og håbe at FF og chome (<3) så er sikre.. Ikke at min bank har anbefalet mig at skifte sjovt nok på trods af mit ansvar for at holde pc'en sikker,..
Er der noget tidspunkt hvor der ikke har været et sikkerhedshul i større eller mindre grad? Hvad med at stoppe brugen af Java og Flash.
Synes det er fint der er en offentlig myndighed der vil beskytte deres borgere mod IT kriminalitet. Men kommer de så ikke hele tiden til at sende disse advarsler ud, hver gang der er et sikkerhedshul.
Synes det er fint der er en offentlig myndighed der vil beskytte deres borgere mod IT kriminalitet. Men kommer de så ikke hele tiden til at sende disse advarsler ud, hver gang der er et sikkerhedshul.
Dette er en 0day exploit af særlig grim karakter, da brugeren intet kan gøre for at undgå den og fordi, hvis du er ramt, vil du kunne smitte andre brugere, bare ved at surfe de samme sider som de gør.
F.eks vil en ramt bruger kunne smitte alle der læser denne tråd, hvis han læser den samtidig. Serversite exploit.
Det er i øvrigt ikke kun i Tyskland der bliver advaret mod dette hul. Over alt bliver den omtalt i medierne, lige for tiden.
Man kan dog undgå den på 3 måder som alle bliver omtalt i den "midlertidig løsning" fra OP.
workarounds and mitigations included in the advisory:
•Deploy the Enhanced Mitigation Experience Toolkit (EMET)
• Set Internet and local intranet security zone settings to "High" to block ActiveX Controls and Active Scripting in these zones
• Configure Internet Explorer to prompt before running Active Scripting or to disable Active Scripting in the Internet and local intranet security zones
skulle være nok at følge, bare en af retningslinjerne.
F.eks vil en ramt bruger kunne smitte alle der læser denne tråd, hvis han læser den samtidig. Serversite exploit.
Det er i øvrigt ikke kun i Tyskland der bliver advaret mod dette hul. Over alt bliver den omtalt i medierne, lige for tiden.
Man kan dog undgå den på 3 måder som alle bliver omtalt i den "midlertidig løsning" fra OP.
workarounds and mitigations included in the advisory:
•Deploy the Enhanced Mitigation Experience Toolkit (EMET)
• Set Internet and local intranet security zone settings to "High" to block ActiveX Controls and Active Scripting in these zones
• Configure Internet Explorer to prompt before running Active Scripting or to disable Active Scripting in the Internet and local intranet security zones
skulle være nok at følge, bare en af retningslinjerne.
bbb2020 (3) skrev:Dette er en 0day exploit af særlig grim karakter, da brugeren intet kan gøre for at undgå den og fordi, hvis du er ramt, vil du kunne smitte andre brugere, bare ved at surfe de samme sider som de gør.
F.eks vil en ramt bruger kunne smitte alle der læser denne tråd, hvis han læser den samtidig. Serversite exploit.
Er du sikker på det?
Hvis det er en serverside exploit, så er det ikke IE, der er problemer med.
Og jeg har meget svært ved at tro på, at jeg (f.eks.) skulle kunne smitte alle jer der læser denne tråd, bare ved at vi har tråden åbent samtidig.
Hvor har du læst det?
bbb2020 (3) skrev:da brugeren intet kan gøre for at undgå den og fordi
De kan ha en effektiv sikkerhedspakke?
Trendmicro, som vi bruger på jobbet, har meldt ud at de dækker for hullet.
Det er selvfølgelig meget fornuftigt af varsle om evt. sikkerheds problemer. Men direkte, at fraråde brugere i at benytte IE. Microsoft har i de seneste par år indført mange nye tiltag som gør det næsten umuligt, at bryde ud af Internet Explorer 9's sandkasse og med IE 10 har de indført Enhanced Protected Mode som isolere den under en AppContainer integrity. Chrome har noget tilsvarende i deres sandkasse teknologi men hvad har f.eks. Firefox eller Opera?
IE 10 er ikke officielt frigivet. Den kommer med Windows 8 og Windows Server 2012 som kan hentes i forskellige pre-releases (RTM / Developer Preview) hvis man er udvikler eller hardware producent. Det ændrer dog ikke på, at IE 9 og Chrome er langt bedre til, at modstå en evt. sårbarhed end Firefox eller Opera.
XorpiZ (6) skrev:bbb2020 (3) skrev:Dette er en 0day exploit af særlig grim karakter, da brugeren intet kan gøre for at undgå den og fordi, hvis du er ramt, vil du kunne smitte andre brugere, bare ved at surfe de samme sider som de gør.
F.eks vil en ramt bruger kunne smitte alle der læser denne tråd, hvis han læser den samtidig. Serversite exploit.
Er du sikker på det?
Hvis det er en serverside exploit, så er det ikke IE, der er problemer med.
Og jeg har meget svært ved at tro på, at jeg (f.eks.) skulle kunne smitte alle jer der læser denne tråd, bare ved at vi har tråden åbent samtidig.
Hvor har du læst det?
Det har jeg så ikke læst. Jeg læste det bare som om... Min fejl.
http://beep.tv2.dk/nyheder/s%C3%A5-slemt-er-explor...
bbb2020 (13) skrev:
Det har jeg så ikke læst. Jeg læste det bare som om... Min fejl.
http://beep.tv2.dk/nyheder/s%C3%A5-slemt-er-explor...
Fair deal - synes også det lød lidt voldsomt :)
f-style (4) skrev:#3
kan man blive ramt selvom man kører som standard user eller er det ligemeget pga. activex automatisk har administrator rettigheder?
ActiveX har ikke automatisk administrator rettigheder. Ligesom alle andre komponenter kører den med de credentials som du kører din webbrowser med. Er det en ikke-administrator bruger, så har den ikke administrator rettigheder.
Når det er sagt, så ved jeg ikke om denne exploit kræver administrator rettigheder for at gøre skade. Den kan jo potentielt stadig med almindelige brugerrettigheder stjæle eller slette alle din brugers billeder eller dokumenter.
Fra Dubex
Til info så har Trend Micro allerede lavet signature imod noget malware der udnytter denne sårbarhed i IE.
På følgende blog kan man læse mere om dette fra Trend Micro
http://blog.trendmicro.com/
Til information er Dubex allerede i kontakt med Trend Micro vedr. denne sårbarhed og følger situationen nøje.
Hvis vi modtager kritisk nyt vedr. dette. Vil vi naturligvis vende tilbage.
Vi skal naturligvis også gøre opmærksom på at det er vores anbefaling at OfficeScan installationer er opdaterede, benytter ”Smart Scan” med ”file reputation” og ”web reputation enabled”.
Da dette vil sikre den mest effektive beskyttelse imod nye web sider der udnytter denne sårbarhed.
Mere om Trend Micro’s Smart Protection Network her:
http://cloudsecurity.trendmicro.com/us/technology-...
Det er vores opfattelse at der ikke er grund til panik – du/I er sandsynligvis godt beskyttet
Til info så har Trend Micro allerede lavet signature imod noget malware der udnytter denne sårbarhed i IE.
På følgende blog kan man læse mere om dette fra Trend Micro
http://blog.trendmicro.com/
Til information er Dubex allerede i kontakt med Trend Micro vedr. denne sårbarhed og følger situationen nøje.
Hvis vi modtager kritisk nyt vedr. dette. Vil vi naturligvis vende tilbage.
Vi skal naturligvis også gøre opmærksom på at det er vores anbefaling at OfficeScan installationer er opdaterede, benytter ”Smart Scan” med ”file reputation” og ”web reputation enabled”.
Da dette vil sikre den mest effektive beskyttelse imod nye web sider der udnytter denne sårbarhed.
Mere om Trend Micro’s Smart Protection Network her:
http://cloudsecurity.trendmicro.com/us/technology-...
Det er vores opfattelse at der ikke er grund til panik – du/I er sandsynligvis godt beskyttet
pmadsen (12) skrev:ændrer dog ikke på, at IE 9 og Chrome er langt bedre til, at modstå en evt. sårbarhed end Firefox eller Opera.
Undskyld, men er Firefox ikke bedre end IE?.. Og hvad er der nu galt med Opera :p
Thoroughbreed (18) skrev:Undskyld, men er Firefox ikke bedre end IE?.. Og hvad er der nu galt med Opera :p
Det jeg mente var, at Firefox og Opera ikke out-of-the-box benytter sig af integrity levels. Dvs. hvis en sårbarhed blev udnyttet i dem ville man have fuld adgang til filsystemet på computeren. Dette er ikke tilfældet med IE 9 og Chrome.
Whoever (21) skrev:Ad IE 10:
Som jeg har forstået det så er det kun i 64-bits udgaven af IE (den du kører normalt under "Metro") at muligheden for plugins er fjernet. I 32-bits udgaven (den du starter fra desktop view i win8) er der ingen blokeringer mod plugins (afaik).
Korrekt, men i metro udgaven af IE10 virker flash faktisk..
"We believe that having more sites “just work” in the Metro style browser improves the experience for consumers and businesses alike. As a practical matter, the primary device you walk around with should play the web content on sites you rely on. Otherwise, the device is just a companion to a PC. Because some popular web sites require Adobe Flash and do not offer HTML5 alternatives, Adobe and Microsoft worked together closely to deliver a Flash Player suitable for the Metro style experience."
http://www.webmonkey.com/2012/06/internet-explorer...
Danmark fraråder også IE indtil fejlen er rettet, og patchen er installeret. Hvordan IE brugere så vil hente den patch, det ved jeg ikke. De må vel vente til den kommer igennem Windows Update.
DK CERT: MICROSOFT ADVARER OM HUL I IE
DR: Danske myndigheder advarer mod Explorer
DK CERT: MICROSOFT ADVARER OM HUL I IE
DR: Danske myndigheder advarer mod Explorer
Windows 8 er også frigivet til SA kunder.pmadsen (12) skrev:IE 10 er ikke officielt frigivet. Den kommer med Windows 8 og Windows Server 2012 som kan hentes i forskellige pre-releases (RTM / Developer Preview) hvis man er udvikler eller hardware producent. Det ændrer dog ikke på, at IE 9 og Chrome er langt bedre til, at modstå en evt. sårbarhed end Firefox eller Opera.
#fraråde brug af
Jeg tror ikke på den ide.
Dem der følger med i den slags er sikkert rimeligt beskyttet (non priv account, selvopdaterende antivirus, holder sig fra suspekte side etc.).
Det store flertal læser ikke om den slags.
Det må vist mere dreje sig om at komme i medierne end om at højne sikkerheden.
Jeg tror ikke på den ide.
Dem der følger med i den slags er sikkert rimeligt beskyttet (non priv account, selvopdaterende antivirus, holder sig fra suspekte side etc.).
Det store flertal læser ikke om den slags.
Det må vist mere dreje sig om at komme i medierne end om at højne sikkerheden.
#mystiske ideer
Aha. Noget som kan smitte alle servere uanset hvilket OSm hvilken web server, hvilket server side script sprog etc. de bruger?
Er det ikke indlysende at det ikke kan passe?
ActiveX er enten et synonym for COM eller bruges om et subset af COM (der er lidt terminologi forvirring på området).
Men uanset om det er det ene eller det andet, så er princippet i at bruge noget ActiveX ret simpelt. Der kører en EXE. Den kalder noget kode som oversætter en GUID til en DLL placering, den DLL loades, der kaldes nogle standard metoder i DLL og så kalder EXE den egentlige metode i DLL. Bortset far registry lookup og kald af standard metoder i DLL, så er det faktisk ikke anderledes end enhver ander EXE kalder kode i DLL scenarie. Hvor skulle de ekstra privs komme fra?
Bemærk at ovenstående drejer sig om in process COM. Men det må være det som IE bruger.
bbb2020 (3) skrev:hvis du er ramt, vil du kunne smitte andre brugere, bare ved at surfe de samme sider som de gør
Aha. Noget som kan smitte alle servere uanset hvilket OSm hvilken web server, hvilket server side script sprog etc. de bruger?
Er det ikke indlysende at det ikke kan passe?
f-style (4) skrev:pga. activex automatisk har administrator rettigheder
ActiveX er enten et synonym for COM eller bruges om et subset af COM (der er lidt terminologi forvirring på området).
Men uanset om det er det ene eller det andet, så er princippet i at bruge noget ActiveX ret simpelt. Der kører en EXE. Den kalder noget kode som oversætter en GUID til en DLL placering, den DLL loades, der kaldes nogle standard metoder i DLL og så kalder EXE den egentlige metode i DLL. Bortset far registry lookup og kald af standard metoder i DLL, så er det faktisk ikke anderledes end enhver ander EXE kalder kode i DLL scenarie. Hvor skulle de ekstra privs komme fra?
Bemærk at ovenstående drejer sig om in process COM. Men det må være det som IE bruger.
#28
http://www.computerworld.dk/art/220849/s-proppet-e...
(er også indsendt som nyhed, men jeg ved ikke om de tager den)
http://www.computerworld.dk/art/220849/s-proppet-e...
(er også indsendt som nyhed, men jeg ved ikke om de tager den)
Mr_Mo (32) skrev:Er antallet af registrede sårbarheder et godt kriterie at skønne browserens generelle sikkerhed ud fra?
Ikke nødvendigvis.
Det er ikke specielt klart om forventet antal ikke fundne fejl stiger eller falder med antal fundne fejl.
Men det er nok et bedre kriterie end hvad nogle politikere med lyst til presse omtale udtaler.
Opret dig som bruger i dag
Det er gratis, og du binder dig ikke til noget.
Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.
- Forside
- ⟨
- Forum
- ⟨
- Nyheder
Gå til bund