Failles IE oui mais pas seulement...

[Ptit Lutin]

BlogZinet vient de publier un article intitulé Patch de désactivation pour Win-IE relatif aux failles d'IE. Rien de neuf (ni suprenant ) me direz vous... sauf :

Une faille vieille de plus de six ans classée modérément critique touche également nombre de navigateurs dont Internet Explorer 5 et 6, ainsi que les dernières versions d'Opera (5.x et 6.x aussi) et de Safari (1.x à 1.2.2). D'après Secunia qui publie l'alerte sont concernés également Internet Explorer 5.x pour Mac (moteur Tasman), Konqueror 3.x (moteur KHTML), Mozilla 0.x à 1.6 et Netscape 6.x et 7.x (moteur Gecko). D'autres versions peuvent être aussi affectée.

Secunia, qui a relaté la faille, indique le remède :

Sinon, plus simple et apportant bien plus que la sécurité, Secunia conseille d'utiliser les navigateurs non affectés de la fondation Mozilla, la suite Internet Mozilla 1.7 et Firefox 0.9.x, le navigateur léger, qui sont récemment sortis.

[calimo]

Je viens de reproduire le bug dans Mozilla 1.7
En tous cas en suivant la procédure donnée par Secunia

[ClémentD]

Pas de pb sous Mozilla 1.8a2
Par contre Ie 6 se fait pieger ...

[Kropotkine]

Je viens de reproduire le bug dans Mozilla 1.7
En tous cas en suivant la procédure donnée par Secunia

/HS/ Ils parlent de ton site ! /HS/ (et de Goz aussi)

[ClémentD]

En plus c'est d'un facilité déconcertante à reproduire apparemment ...

Le code méchant:

Code : Tout sélectionner

<a href="/demonstration_page/" target="fraRightFrame">Inject Secunia.com into Microsoft.com</a><br>

Le site de MS:

Code : Tout sélectionner

<FRAME name="fraRightFrame" src="/library/shared/deeptree/asp/rightframe.asp?dtcfg=/library/deeptreeconfig.xml&url=/nhp/default.asp?contentid=28000546&frame=true&hidetoc=false" FRAMEBORDER="no" BORDER="0" BORDERCOLOR="#6699CC"></FRAME>

Il suffirait donc de faire un target vers un frame appartenant à un autre page ?

[calimo]

Ça peut même être quasiment accidentel
Ben oui, il suffit de donner par hasard le même nom qu'à une frame d'un autre site

/HS/ Il y a même un commentaire /HS/

[ClémentD]

Ça peut même être quasiment accidentel
Ben oui, il suffit de donner par hasard le même nom qu'à une frame d'un autre site

C'est aussi ce que je me suis dit, si deux sites ont une frame "menu" par exemple cela suffirait pour provoquer des problèmes ?

[piouPiouM]

Je viens de reproduire le bug dans Mozilla 1.7
En tous cas en suivant la procédure donnée par Secunia

N'a pas fonctionné sous Firefox 0.9 en
En revanche sur IE 6

[XF007]

haha :
http://linuxfr.org/~boklm/14378.html