Secunia: IE:ssä useita aukinaisia haavoittuvuuksia

Rekisteröidy ja kirjaudu sisään, jos haluat kommentoida.

Kommentit ( 23 uutta / 23 )

pistettä. Näytä vain kommentit joilla on vähintään

	HTML Help -reikä korjattu JuZZe, 12.1.2005 16:52:33	Pisteet: 0

Nyt ei tarvitse enää jahkailla että eikö MS korjaa koskaan reikiään.
Tässä on "Vulnerability in HTML Help Could Allow Code Execution (890175)" reikään pätsi: http://www.microsoft.com/technet/security/Bulletin...

Ja samalla näköjään tuli työkalu joka poistaa mm. Sasserin ja Mydoomin koneelta.

Minun kantani/mielipiteeni/näkökulmani asiaan. Minä pidän siitä kiinni kunnes toisin todistetaan, korjatkaa kuitenkin jos olen väärässä.

	Apple vuotaa kuin seula koolmoedee, 13.1.2005 14:08:23	Pisteet: 0

"Samalla kun Apple on julkistanut juhlavasti joukon tuoteuutuuksia Macworld-messuilla, yhtiö on kaikessa hiljaisuudessa paikannut vakavan haavoittuvuuden suositussa Itunes-musiikkiohjelmassa."

Puheet Applen tuotteiden turvallisuudesta voidaan lopettaa.

Jälleen on yksi myytti purettu.

	Mistäköhän syystä... Mike Steel, 10.1.2005 10:02:25	Pisteet: 0

...tämä on uutinen, mutta kun samaan aikaan löydettiin Mozilla/FIreFoxista useita reikiä, se ei ylitä uutiskynnystä?

Puhumattakaan viimeisen kuukauden aikana löydetyistä Linux kernel ongelmista?

Hyvin on valikoivaa "puolueeton" uutisointi näinä päivinä.

"This was no boating accident!"

	Re: Mistäköhän syystä... explo, 10.1.2005 10:49:55	Pisteet: 0

...tämä on uutinen, mutta kun samaan aikaan löydettiin Mozilla/FIreFoxista useita reikiä, se ei ylitä uutiskynnystä? Puhumattakaan viimeisen kuukauden aikana löydetyistä Linux kernel ongelmista?

Laitetaan nyt ihan mr. antiopensourcen kiusaksi (jottei pääse purnaamaan opensourceihmisten sataprosenttisen valikoivasta havainnoinnista) sitten noihin linkkejä. Kyllähän nuo olisivat olleet ihan kelvollisia uutisaiheita.

2.4/2.6 - kerneleiden paikallisten käyttäjien root-exploitti: http://isec.pl/vulnerabilities/isec-0021-uselib.tx...

Mozilla/Firefox - aukot:

http://www.securityfocus.com/archive/1/386070/2005...

(joista kylläkin osa on jo tuoreemmissa tuliketuissa ja Mozilloissa korjattu ennen ko. uutista)

	Re: Mistäköhän syystä... Sledge, 11.1.2005 15:11:02	Pisteet: 0

Vanhoina "hyvinä aikoina" keskustelu oli C64 vs MSX., sitten Amiga vs Atari, Amiga vs PC, PC vs "Mäkki", Intel vs AMD, ATI vd NVidia, EI vs Netscape ja nyt surullisempana Winkkari vs Linux --> IE vs Open Source selaimet.

Noihin aikaisempiin sen kummemmin puuttumatta, niin näitä exploitteja on julkaistu IE:hen varmaan koko selaimen historian ajan ja mutta silti IE jatkaa porskutustaan, vaikka Mozillat vähän markkinaosuutta valtaavatkin. Ehkä se kertoo jotakin. Välttämättä teknisesti "paras" ei aina voita.

Enemmistö jatkaa IE:n käyttämistä niin kauan, kun se oletuksena tulee Windowsin mukana. Kuitenkin valtaosa sivustoista vain "toimii paremmin" ja näkyy "oikein" IE:lla. Tämä ei tarkoita, että se olisi parempi selain, mutta sivut tehty siten, että ainakin toimivat IE:lla.

Tämäkään exploitti ei ainakaan minua saa vaihtamaan ykkösselainta. Vanhassa läppärissäni on firefox, koska se tuntuu toimivan hiukan sutjakkaammin, kuin IE. Tietoturva syiden takia en ole vaihtanut.

Kauheaa vouhotusta kuitenkin. Aukkoja on tullut ja tulee luultavasti aina olemaan kummassakin softassa. Terveellä järjellä ja tietoturvasta huolehtimalla on pärjännyt tähinkin asti.

Osaamattomalle täysin tumpelolle (kuten vaikka omat vanhempani) en silti asentaisi open source selainta. Heille on helpompaa, kun ohjeissa olevat ovat kuvat ovat prikulleen sen näköisiä kuin selain omassa koneessa. Jos virukset yms. tihulaiset pääsevät koneelle, niin ainahan sen voi käydä imagesta pamauttamassa uusiksi levylle. Pienempi vaiva se on kuin antaa jatkuvaa puhelintukea "oudolle" selaimelle. Tämä nyt oli vain yksi näkökanta. Muilla erilaiset tarpeet ja lähtökohdat.

Muuten vanhemmillani on kone ollut IE:llä vuodesta 2001 ja spywarea kummempaa roskaa koneille ei ole koskaan päätynyt, vaikka ovatkin täysiä tumpeloita ja joka linkin klikkaajia. Palomuuri ja ajantasalla pysyvä virustutka on riittänyt tähän asti.

*** Älä usko kaikkea mikä on totta! ***

	Re: Mistäköhän syystä... daimoni, 10.1.2005 12:40:09	Pisteet: 0

...tämä on uutinen, mutta kun samaan aikaan löydettiin Mozilla/FIreFoxista useita reikiä, se ei ylitä uutiskynnystä?

Tämä Mozilla/Firefoxin 'reikä' ei itseasiassa exploittaa yhtään mitään. Statusbariin ei vain mahdu pienillä resoluutioilla pitkät linkit. Eli tarpeeksi isolla resoluutiolla kyllä koko URL näkyy. Ei tämä kyllä mielestäni exploittaa yhtään mitään? Toki tuossa statusbarissa voisi olla vaikka joku mouseover joka näyttäisi koko urlin... ei, en laskisi tätä aukoksi edes IE:ssä...

"Minusta on viime aikoina daimonin kommentteja lukeneena alkanut muutenkin tuntua, että äijä kuvittelee olevansa joku jumalhahmo, jonka sana on totuus ja laki."
-- Anonyymi kommentoija

	Re: Mistäköhän syystä... Mika Teräs, 10.1.2005 12:03:11	Pisteet: 0

...tämä on uutinen, mutta kun samaan aikaan löydettiin Mozilla/FIreFoxista useita reikiä, se ei ylitä uutiskynnystä? Puhumattakaan viimeisen kuukauden aikana löydetyistä Linux kernel ongelmista?
Hyvin on valikoivaa "puolueeton" uutisointi näinä päivinä.

Ihmeen paljon sinä jaksat os-softien ja kerneleiden reikiä seurata, vaikka hyvin selkeästi tunnut ko. virityksiä vihaavan. Trollaatko tarkoituksella, vai oletko vain datanomi?

	Re: Mistäköhän syystä... daimoni, 10.1.2005 12:37:53	Pisteet: 0

Ihmeen paljon sinä jaksat os-softien ja kerneleiden reikiä seurata, vaikka hyvin selkeästi tunnut ko. virityksiä vihaavan. Trollaatko tarkoituksella, vai oletko vain datanomi?

Kyllä minäkin seuraan, ainakin omaan työkuvaani kuuluu R&D uusille jutuille, ja siinä sivussa on hyvä seurata käyttöjärjestelmien ja ohjelmistojen kehitystä/vikoja, ohjelmistoalalla kun ollaan...

"Minusta on viime aikoina daimonin kommentteja lukeneena alkanut muutenkin tuntua, että äijä kuvittelee olevansa joku jumalhahmo, jonka sana on totuus ja laki."
-- Anonyymi kommentoija

	Re: Mistäköhän syystä... Nakkel, 10.1.2005 14:38:45	Pisteet: 0

Trollaatko tarkoituksella, vai oletko vain datanomi?

Valitsen ensimmäisen vaihtoehdon.

Kaikki käy!

	Re: Mistäköhän syystä... Mike Steel, 10.1.2005 14:26:54	Pisteet: 0

-Ymmärrän että hyvin poliittisesti epäkorrektia puhua opensorsa softien puutteista, bugeista ja muista faktoista. Niitä kun ei saa arvostella.

Mediassakin eri "asiantuntijat" tuntuvat olevan kaikkea muuta kuin asiantuntijoita ja puolueettomia.

Ja jos ei muuta, niin sinunlaistesi ihmisten kiusaksi kerron asioista niille jotka eivät tiedä. Ymmärrän että mielummin vaikenisit näistä asioista ja pitäisit suuren massan siinä virheellisessä luulossa että nämä viritykset ovat turvallisia.

Totuus vaan tuntuu olevan jotain aivan muuta. Tutkimusten ja omien kokemusten perusteella.

"This was no boating accident!"

	Re: Mistäköhän syystä... murmeli, 10.1.2005 18:04:41	Pisteet: 0

Olen samaa mieltä että puolueettomuuteen tulisi panostaa enemmän. Esimerkiksi vertailuja tehtäessä testilaitteisto saattaa olla valittu siten, että halutun osapuolen softaoptimoinnit purevat rautaan paremmin kuin muiden.

Mutta et voi väittää etteikö M$:n IE olisi turvattomampi yhdistelmä kuin Linux + Firefox. Perusteluni väittämälle on se, että IE:lle on enemmän exploitteja kuin Firefox:lle.

Ja jos ei muuta, niin sinunlaistesi ihmisten kiusaksi kerron asioista niille jotka eivät tiedä.

Olet siis mielestäsi jonkin sortin profeetta joka jumalan armosta tulee ohjaamaan tietämättömät tietokoneen käyttäjät pois OS-softien turmelluksesta luvattuun M$:n maahan. ;-)

Ymmärrän että mielummin vaikenisit näistä asioista ja pitäisit suuren massan siinä virheellisessä luulossa että nämä viritykset ovat turvallisia.

Turvallisuus on valitettavasti aina kompromissi. Kun kytkeydyt verkkoon olet altistanut koneesi hyökkäyksille. Mutta toisaalta turvattomuuskin on aina suhteellista. Yksikin avoin reikä rikkoo turvallisuuden, mutta turvattomuus kasvaa sen mukaan paljonko reikää hyödyntäviä uhkia verkossa on. Eli oletko varma että M$:n IE takaa turvallisemman alustan kuin Firefox?

Totuus vaan tuntuu olevan jotain aivan muuta. Tutkimusten ja omien kokemusten perusteella.

Gates uutisen kommenteissa syytit OS kavereita keskustelusta ilman faktoja. Minne unohdit omasi?

	Re: Mistäköhän syystä... Mike Steel, 10.1.2005 18:11:35	Pisteet: 0

Mutta et voi väittää etteikö M$:n IE olisi turvattomampi yhdistelmä kuin Linux + Firefox. Perusteluni väittämälle on se, että IE:lle on enemmän exploitteja kuin Firefox:lle.

-Saattaa ollakin, tällä hetkellä. Tosin tuo on vähän samanlainen "puolustus" kuin se että Mersuja varastetaan enemmän kuin Ladoja -> Lada on turvallisempi.

Faktaa on että Linuxin markkinaosuus (ja tätä kautta myös hakkereiden määrä jotka niitä reikiä etsivät) on murto-osa vastaavasta Windows määrästä. Silti Secuniasta jokainen voi katsoa kummasta löytyy enemmän tietoturvabugeja, Winkkarista vai Linuxista.

Vihjeenä niille jotka eivät jaksa, se ei ole Windows.

Jos minulla olisi autotallissa 95 Mitsua ja 2 Mazdaa, ja silti kävisin useammin Mazdan kuin Mitsun huollossa, tuskin väittäisin kirkkain silmin Mazdan olevan se paremmin toimiva auto.

Näin kuitenkin monet tällä hetkellä toimivat Windows vs Linux keskusteluissa.

"This was no boating accident!"

	Re: Mistäköhän syystä... fernie, 10.1.2005 19:39:00	Pisteet: 0

Silti Secuniasta jokainen voi katsoa kummasta löytyy enemmän tietoturvabugeja, Winkkarista vai Linuxista. Vihjeenä niille jotka eivät jaksa, se ei ole Windows.

turhaa sotimista, mutta nyt kerran kun sivulle satuin eksymään niin kyllä nuo luvut näyttävät olevan Linux 31 - Windows 79
Ja tilanne windowsin osalta vain pahenee kun päästään tarkemmin katselemaan kaavioita.

lähteet:
http://secunia.com/product/2719/
http://secunia.com/product/22/

	Re: Mistäköhän syystä... Nipsu, 10.1.2005 22:27:12	Pisteet: 0

-Saattaa ollakin, tällä hetkellä. Tosin tuo on vähän samanlainen "puolustus" kuin se että Mersuja varastetaan enemmän kuin Ladoja -> Lada on turvallisempi.

Muuten hyvä vertaus (autovertaukset ovat aina huudossa!), mutta sotkit homman väärinpäin - näin se menee:

Ladoihin (IE) on helpompi murtautua kuin mersuihin (Firefox) -> Mersu on turvallisempi.

- Here's to the code that sucks! -

	Re: Mistäköhän syystä... marevan, 11.1.2005 07:27:41	Pisteet: 0

Olet siis mielestäsi jonkin sortin profeetta joka jumalan armosta tulee ohjaamaan tietämättömät tietokoneen käyttäjät pois OS-softien turmelluksesta luvattuun M$:n maahan. ;-)

No sitähän nuo ärsyttävimmät linux-hörhöt tuppaa tekemään kyllä, niin onko se nyt joku ihme, että vastaavaa on mikkisoftaa tukeville.

	Re: Mistäköhän syystä... Kosm, 10.1.2005 15:11:41	Pisteet: 0

Herra Teräs on hyvä ja pistää sitä tutkimuslinkkiä sitten pöytään.

	Re: Mistäköhän syystä... Mike Steel, 10.1.2005 18:02:06	Pisteet: 0

Herra Teräs on hyvä ja pistää sitä tutkimuslinkkiä sitten pöytään.

-No tässä olisi jotain pikaisia.

a) OS -porukka aina korjaa bugit nopeasti, niinhän? Miksi sitten joka ainoa Mozilla/FireForx 1.x version bugi on kokonaan paikkaamatta? "Partitial fixejä" on muutama.

http://secunia.com/product/4227/

b) vertaillaan nyt sitten uusimpia versioita, eli vaikkapa Win2003 Server ja Red Hat

W2003 Server - ei yhtään kriittistä reikää sitten julkaisun toukokuu 2003 (extremely critical). Yhteensä reikiä:

"This was no boating accident!"

	Re: Mistäköhän syystä... Datamike, 10.1.2005 20:36:45	Pisteet: 0

a) Miksi sitten joka ainoa Mozilla/FireForx 1.x version bugi on kokonaan paikkaamatta? "Partitial fixejä" on muutama.

Miksi? Luoja tietää. Mutta omasta mielestäni olen paremmassa turvassa firefox 1.x:n käyttäjänä, joista Secunia dokumentoi 5 reikää, jotka luokitellaan 1 luokitellaan Moderate ja 4 Less. Kuin IE &:n käyttäjänä, joista Secunia on dokumentoinut 75 reikää. jotka luokitellaan: 11 Extreme, 19 High, 19 Moderate, ja 11 Less. Firefox 1.x:n olisi 4 unpatched ja 1 partial fix. IE 6:ssa 26 olisi unpatched.

b) vertaillaan nyt sitten uusimpia versioita, eli vaikkapa Win2003 Server ja Red Hat

Kun vertailet Windows:a ja Linux:a olisi ehkä hyvä muistaa että jakelun valitsemisella on iso merkitys siihen millainen tietoturva tasosi on. Esim. Redhat Linux 9:n kohdalla dokumentoituja reikiä on 100 kun Fedora Core 3:n kohdalla luku putoaa 27, ja Slackware 10.0:n kohdalla luku on jo 4.

W2003 Server - ei yhtään kriittistä reikää sitten julkaisun toukokuu 2003 (extremely critical).

Unohtamatta että niistä 37 reiästä, sitten toukokuun 2003, 46% on ollut highly critical. Ihan oikeasti, jos alat tehdä vertailuja, tee se oikein.

Tietoturva on myös hiukan enemmän kuin käyttöjärjestelmä. Siihen vaikuttavat muut ohjelmat, niiden asetukset, käyttäjien ammattitaito, asenne, jne. On suhteellisen huolestuttavaa että laitat näin paljon numeroiden varaan.

Minua myös hämmästyttää että joka kerta kun sektoriin tulee uutinen tietoturva reiästä, joka on Windows:ssa tai IE:ssä, löytyy joku joka leikkii profeettaa ja yrittää siinä sitten kouluttaa muuta yhteiskuntaa että "kyl sii linukas kin on reikii, ette voi kiistää!". Kukaan ei tietääkseni sitä kiistä. Jos sinua ketuttaa ettei sektori julkaise enemmän tietoa reistä jotka ovat Linux:ssa, kirjoita heille kirje ja valista heitä. Täällä siitä on turha vouhottaa.

Mutta kyllä, tämä oli epäkorrekti ja poliittisesti epäsuosiossa oleva postaus, pahoittelen.

Epäkorrekti kyllä, koska et tee vertailujasi puolueettomasti.

tässä vielä kommentteja Linuxin turvallisuudesta (Brad Spengler, the guy behind GRSecurity ...

Joo ja voisimme varmasti kaivaa esiin jonkun toisen, elämää-tärkeämmän-henkilön, vastaavan Windows kommentin. Tulisimmeko viisaammiksi, EMME!

"Given enough eyeballs, all bugs are shallow."

	Re: Mistäköhän syystä... Nipsu, 10.1.2005 23:44:44	Pisteet: 0

tässä vielä kommentteja Linuxin turvallisuudesta (Brad Spengler, the guy behind GRSecurity ...

Joo ja voisimme varmasti kaivaa esiin jonkun toisen, elämää-tärkeämmän-henkilön, vastaavan Windows kommentin. Tulisimmeko viisaammiksi, EMME!

Aargh! Löydän itseni puolustamasti wintoosamiehiä, mutta harmi kyllä teräksen mikko on nyt 'oikeammassa'. Brad ei vaikuttaisi olevan 'joku toinen' - henkilö vaan todella kova tietoturvaguru joka myös osaa murtautua systeemeihin ja löytää niistä haavoittuvuuksia.

On hyvä että joku tuo asian julki (vaikka olisikin oman firman mainostuslehmä ojassa) sillä tuosta syntyvä keskustelu ei voi tehdä kuin hyvää Linuxin turvallisuudelle. Toivoisin että tästäkin seuraisi entistä turvallisempi kerneli niinkuin aikanaan aiheesta moititun säikeistyksen ja skeduloinnin hitaudesta seurasi parempi skedulointi ja tehokkaampi säikeistys.

- Here's to the code that sucks! -

	Re: Mistäköhän syystä... Datamike, 11.1.2005 12:57:31	Pisteet: 0

Hyvä että mies on palkkansa väärti, mutta en minä tuosta puheenpätkästä ainakaan hirveästi vaikuttunut ollut. On luultavasti muitakin kenellä on nuo yllämainitut taidot ja tiedot. Jos Brad olisi lisäännyt puheeseensa osan, "so I fixed a little something", olisin ollut paljon otetumpi. Puheita osaan minäkin pitää.

"Given enough eyeballs, all bugs are shallow."

	Re: Mistäköhän syystä... Mike Steel, 10.1.2005 18:06:39	Pisteet: 0

...jatkoa, "Lisää" nappi innostui liian aikaisin:

eli 37 bugia (toukokuusta -03).

RedHat: Enterprise Linux ES 3:

Bugeja tähän asti (marraskuusta -03): 114 ja tässä mukana myös "Extremely critical" aukkoja.

Ja ennekuin alkaa kitinä "mutta leluxin mukana tulee paljon muitakin softia", niin otetaan nyt huomioon ettei tässä laskettu mukaan vielä vaikkapa Apachen bugeja, mutta MS puolella IIS:in bugit (ei yhtään) kylläkin.

Mutta kyllä, tämä oli epäkorrekti ja poliittisesti epäsuosiossa oleva postaus, pahoittelen.

"This was no boating accident!"

	Re: Mistäköhän syystä... Mike Steel, 10.1.2005 18:24:14	Pisteet: 0

-aa, tässä vielä kommentteja Linuxin turvallisuudesta (Brad Spengler, the guy behind GRSecurity)

http://lwn.net/Articles/118251/

"It's a pretty sad state of affairs for Linux security when someone can
find 4 exploitable vulnerabilities in a matter of minutes."

"I'd really like to know what's being done about this pitiful trend of
Linux security, where it's 10x as easy to find a vulnerability in the
kernel than it is in any app on the system, where isec releases at
least one critical vulnerability for each kernel version. I don't see
that the 2.6 development model is doing anything to help this (as the
spectrum of these vulnerabilities demonstrate), by throwing
experimental code into the kernel and claiming it to be "stable"."

"This was no boating accident!"

	Hmm marevan, 10.1.2005 06:46:05	Pisteet: 0

Eikös toi ollut NIMENOMAAN Windows XP SP2:sessa, eikä "myös täysin päivitettyssä jne.". Itse ainakin testannut töistä monella Win2k:lla tuolla testisivulla, eivätkä ole olleet millänsäkään.

Secunia: IE:ssä useita aukinaisia haavoittuvuuksia

CERT-FI: Haavoittuvuuksia Sun Java- ja IE-ohjelmistoissa

Internet Explorerista löytyi kolme tietoturvareikää

IE:ssä neljä uutta kriittistä haavoittuvuutta

Microsoft julkisti Windows- ja Office-korjauspäivityksiä

Internet Explorerissa selaimen kaatava bugi