Oud lek nog steeds aanwezig in IE8
Gepubliceerd: Dinsdag 26 mei 2009
Auteur: Sander van der Meijs
Een cross-site scripting-lek dat onlangs leek te zijn verholpen met de komst van IE8, blijkt toch nog aanwezig te zijn.
Het lek dat browsers kwetsbaar maakt voor UTF-7 XSS aanvallen is al in februari 2007 gerapporteerd en het is gepatcht in Firefox 2.0.0.2 en in Opera 9.20. Onlangs leek het lek, met de komst van Internet Explorer 8, ook verholpen in de browser van Microsoft. Maar nu blijkt het lek daar toch nog te bestaan.
Dat schrijft Inferno op zijn blog en hij voegt er ook nog een proof of concept aan toe, dat inderdaad werkt in IE8 maar niet in Firefox.
In zijn laatste alinea, die druipt van het sarcasme, meldt hij dat hij contact heeft gehad met de beveiligingsafdeling van Microsoft en dat ze hard bezig zijn om dit lek te dichten. De fix wordt verwacht in de volgende editie van hun browser, IE9.
Bron: Techworld
