Deux petites questions :
- Cette faille de Mozilla semble aussi valable pour IE6 (j'obtient les
même problèmes aux mêmes tests). Est-ce le cas ?
- Ensuite je lis ici ou là, que la faille ne peut être réellement
explotée QUE sous XP. Vrai ?
A+ et Bien le Bonjour de Corse
--
-----------------------------------
Mandrake 10.0 - Kernel 2.6.3.14
Firefox 0.9.1 - Thunderbird 0.7.1
Adresse Jabber : corsica@bravegnuworld.com
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire
Veuillez sélectionner un problème
Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
Jean-Max Reymond
Corsica wrote:
Bonjour à Tous
Deux petites questions : - Cette faille de Mozilla semble aussi valable pour IE6 (j'obtient les même problèmes aux mêmes tests). Est-ce le cas ? - Ensuite je lis ici ou là, que la faille ne peut être réellement explotée QUE sous XP. Vrai ?
A+ et Bien le Bonjour de Corse
Ce n'est pas vraiment une faille de Mozilla. Ce qui se passe, c'est que certains liens utilisent des handlers autres que "http:", "ftp:", etc. Quand le navigateur ne sait pas quoi en faire, il est censé le passer au système d'exploitation, qui lui répond ok ou bien je ne sais pas. Ici, il s'agit de "shell:", qui est connu de windows. Il s'agit d'exécuter arbitrairement tout code qui lui est passe par ce biais. C'est pour ca que cette faille n'affecte que window XP/2K, et pas les autres systèmes d'exploitation sur lesquels tourne Mozilla. La question est de savoir s'il faut bloquer tout ces handlers non connus, ou bien s'il faut faire confiance au système sous-jacent.
Conclusion : c'est plutôt un problème windows que Mozilla. L'équipe de Mozilla discutait depuis 2 ans pour savoir s'il fallait ou pas empêcher ce genre de comportements, mais a partir du moment où un exploit a été publié en 24h ils ont sorti le patch. (merci à Yann ;-) )
-- Jean-Max Reymond dernière éruption de l'Etna: http://jmreymond.free.fr/Etna2002
Corsica wrote:
Bonjour à Tous
Deux petites questions :
- Cette faille de Mozilla semble aussi valable pour IE6 (j'obtient les
même problèmes aux mêmes tests). Est-ce le cas ?
- Ensuite je lis ici ou là, que la faille ne peut être réellement
explotée QUE sous XP. Vrai ?
A+ et Bien le Bonjour de Corse
Ce n'est pas vraiment une faille de Mozilla.
Ce qui se passe, c'est que certains liens utilisent des handlers autres
que "http:", "ftp:", etc. Quand le navigateur ne sait pas quoi en faire,
il est censé le passer au système d'exploitation, qui lui répond ok ou
bien je ne sais pas.
Ici, il s'agit de "shell:", qui est connu de windows. Il s'agit
d'exécuter arbitrairement tout code qui lui est passe par ce biais.
C'est pour ca que cette faille n'affecte que window XP/2K, et pas les
autres systèmes d'exploitation sur lesquels tourne Mozilla.
La question est de savoir s'il faut bloquer tout ces handlers non
connus, ou bien s'il faut faire confiance au système sous-jacent.
Conclusion : c'est plutôt un problème windows que Mozilla.
L'équipe de Mozilla discutait depuis 2 ans pour savoir s'il fallait ou
pas empêcher ce genre de comportements, mais a partir du moment où un
exploit a été publié en 24h ils ont sorti le patch.
(merci à Yann ;-) )
--
Jean-Max Reymond
dernière éruption de l'Etna: http://jmreymond.free.fr/Etna2002
Deux petites questions : - Cette faille de Mozilla semble aussi valable pour IE6 (j'obtient les même problèmes aux mêmes tests). Est-ce le cas ? - Ensuite je lis ici ou là, que la faille ne peut être réellement explotée QUE sous XP. Vrai ?
A+ et Bien le Bonjour de Corse
Ce n'est pas vraiment une faille de Mozilla. Ce qui se passe, c'est que certains liens utilisent des handlers autres que "http:", "ftp:", etc. Quand le navigateur ne sait pas quoi en faire, il est censé le passer au système d'exploitation, qui lui répond ok ou bien je ne sais pas. Ici, il s'agit de "shell:", qui est connu de windows. Il s'agit d'exécuter arbitrairement tout code qui lui est passe par ce biais. C'est pour ca que cette faille n'affecte que window XP/2K, et pas les autres systèmes d'exploitation sur lesquels tourne Mozilla. La question est de savoir s'il faut bloquer tout ces handlers non connus, ou bien s'il faut faire confiance au système sous-jacent.
Conclusion : c'est plutôt un problème windows que Mozilla. L'équipe de Mozilla discutait depuis 2 ans pour savoir s'il fallait ou pas empêcher ce genre de comportements, mais a partir du moment où un exploit a été publié en 24h ils ont sorti le patch. (merci à Yann ;-) )
-- Jean-Max Reymond dernière éruption de l'Etna: http://jmreymond.free.fr/Etna2002
Pierre Goiffon
"Corsica" a écrit dans le message de news:
Deux petites questions : - Cette faille de Mozilla semble aussi valable pour IE6 (j'obtient les même problèmes aux mêmes tests). Est-ce le cas ?
En lisant la fiche du bug : http://bugzilla.mozilla.org/show_bug.cgi?id%0180
Il est indiqué dans le 1er commentaire que cette fonctionnalité a été supprimée dans IE6 SP1 :
"While I have not looked into the exploitability of this behavior, it would seem to be a security risk as IE has supposedly dropped this functionality in SP1 for IE 6"
"Corsica" <ahmad.clement-virezmoi@wanadoo.fr> a écrit dans le message
de news:2l9kmvFa7ffaU2@uni-berlin.de
Deux petites questions :
- Cette faille de Mozilla semble aussi valable pour IE6 (j'obtient les
même problèmes aux mêmes tests). Est-ce le cas ?
En lisant la fiche du bug :
http://bugzilla.mozilla.org/show_bug.cgi?id%0180
Il est indiqué dans le 1er commentaire que cette fonctionnalité a été
supprimée dans IE6 SP1 :
"While I have not looked into the exploitability of this
behavior, it would seem to be a security risk as IE has supposedly dropped
this functionality in SP1 for IE 6"
Deux petites questions : - Cette faille de Mozilla semble aussi valable pour IE6 (j'obtient les même problèmes aux mêmes tests). Est-ce le cas ?
En lisant la fiche du bug : http://bugzilla.mozilla.org/show_bug.cgi?id%0180
Il est indiqué dans le 1er commentaire que cette fonctionnalité a été supprimée dans IE6 SP1 :
"While I have not looked into the exploitability of this behavior, it would seem to be a security risk as IE has supposedly dropped this functionality in SP1 for IE 6"
Frederic Bezies
Le 07/12/2004 10:48 AM, Pierre Goiffon a écrit :
"Corsica" a écrit dans le message de news:
Deux petites questions : - Cette faille de Mozilla semble aussi valable pour IE6 (j'obtient les même problèmes aux mêmes tests). Est-ce le cas ?
En lisant la fiche du bug : http://bugzilla.mozilla.org/show_bug.cgi?id%0180
Il est indiqué dans le 1er commentaire que cette fonctionnalité a été supprimée dans IE6 SP1 :
"While I have not looked into the exploitability of this behavior, it would seem to be a security risk as IE has supposedly dropped this functionality in SP1 for IE 6"
C'est du conditionnel, pas de l'indicatif.
Traduction rapide avec Voila et corrigé pour rendre l'ensemble "lisible".
"Bien que je n'ai pas regardé l'exploitabilité de ce comportement, cela semblerait être un risque de sécurité qu'IE a censément laissé tomber cette fonctionnalité dans le SP1 pour IE 6"
Ce qui laisse un doute sur la correction ou nom de la faille. Une personne avec un IE6.0 Sp1 à jour pourrait vérifier la mise à mort de cette faille ?
http://www.mccanless.us/mozilla/mozilla_bugs.htm
Cette page devrait être compatible avec IE, non ?
-- Frédéric Béziès -
Site Perso : http://perso.wanadoo.fr/frederic.bezies/ Weblog : http://fredbezies.blogspot.com/ Fourre-tout : http://perso.wanadoo.fr/frederic.bezies/pratique/
Le 07/12/2004 10:48 AM, Pierre Goiffon a écrit :
"Corsica" <ahmad.clement-virezmoi@wanadoo.fr> a écrit dans le message
de news:2l9kmvFa7ffaU2@uni-berlin.de
Deux petites questions :
- Cette faille de Mozilla semble aussi valable pour IE6 (j'obtient les
même problèmes aux mêmes tests). Est-ce le cas ?
En lisant la fiche du bug :
http://bugzilla.mozilla.org/show_bug.cgi?id%0180
Il est indiqué dans le 1er commentaire que cette fonctionnalité a été
supprimée dans IE6 SP1 :
"While I have not looked into the exploitability of this
behavior, it would seem to be a security risk as IE has supposedly dropped
this functionality in SP1 for IE 6"
C'est du conditionnel, pas de l'indicatif.
Traduction rapide avec Voila et corrigé pour rendre l'ensemble "lisible".
"Bien que je n'ai pas regardé l'exploitabilité de ce comportement, cela
semblerait être un risque de sécurité qu'IE a censément laissé tomber
cette fonctionnalité dans le SP1 pour IE 6"
Ce qui laisse un doute sur la correction ou nom de la faille. Une
personne avec un IE6.0 Sp1 à jour pourrait vérifier la mise à mort de
cette faille ?
http://www.mccanless.us/mozilla/mozilla_bugs.htm
Cette page devrait être compatible avec IE, non ?
--
Frédéric Béziès - mozjf@alussinan.org
Site Perso : http://perso.wanadoo.fr/frederic.bezies/
Weblog : http://fredbezies.blogspot.com/
Fourre-tout : http://perso.wanadoo.fr/frederic.bezies/pratique/
Deux petites questions : - Cette faille de Mozilla semble aussi valable pour IE6 (j'obtient les même problèmes aux mêmes tests). Est-ce le cas ?
En lisant la fiche du bug : http://bugzilla.mozilla.org/show_bug.cgi?id%0180
Il est indiqué dans le 1er commentaire que cette fonctionnalité a été supprimée dans IE6 SP1 :
"While I have not looked into the exploitability of this behavior, it would seem to be a security risk as IE has supposedly dropped this functionality in SP1 for IE 6"
C'est du conditionnel, pas de l'indicatif.
Traduction rapide avec Voila et corrigé pour rendre l'ensemble "lisible".
"Bien que je n'ai pas regardé l'exploitabilité de ce comportement, cela semblerait être un risque de sécurité qu'IE a censément laissé tomber cette fonctionnalité dans le SP1 pour IE 6"
Ce qui laisse un doute sur la correction ou nom de la faille. Une personne avec un IE6.0 Sp1 à jour pourrait vérifier la mise à mort de cette faille ?
http://www.mccanless.us/mozilla/mozilla_bugs.htm
Cette page devrait être compatible avec IE, non ?
-- Frédéric Béziès -
Site Perso : http://perso.wanadoo.fr/frederic.bezies/ Weblog : http://fredbezies.blogspot.com/ Fourre-tout : http://perso.wanadoo.fr/frederic.bezies/pratique/
Pierre Goiffon
"Frederic Bezies" a écrit dans le message de news:cctk3j$ph6$
En lisant la fiche du bug : http://bugzilla.mozilla.org/show_bug.cgi?id%0180
Il est indiqué dans le 1er commentaire que cette fonctionnalité a été supprimée dans IE6 SP1 :
C'est du conditionnel, pas de l'indicatif.
Mhh, après relecture de diverses sources, je crois comprendre que c'est Windows qui aurait un comportement incorrect, comportement qui aurait du être corrigé par IE6 SP1 ?
La liste des corrections de ce SP : http://support.microsoft.com/common/canned.aspx?R=d&H=List%20of%20Fixes%20in%20Microsoft%20Internet%20Explorer%206%20SP1&LL=&Sz=kbIE600sp1fix&Fr=&DU=&SD=GN&LN=EN-US&CND=1&VR=&CAT=&VRL=&SG=&MaxResults0
J'ai lu rapidement en diagonale sans trouver quelque chose qui ait rapport :/ Je trouve la page sur Mozilla.org vraiment avare de détails techniques, c'est très dommage. QUelques chose à améliorer dans le futur.
"Frederic Bezies" <mozjf@alussinan.org> a écrit dans le message de
news:cctk3j$ph6$1@news-reader5.wanadoo.fr
En lisant la fiche du bug :
http://bugzilla.mozilla.org/show_bug.cgi?id%0180
Il est indiqué dans le 1er commentaire que cette fonctionnalité a été
supprimée dans IE6 SP1 :
C'est du conditionnel, pas de l'indicatif.
Mhh, après relecture de diverses sources, je crois comprendre que c'est
Windows qui aurait un comportement incorrect, comportement qui aurait du
être corrigé par IE6 SP1 ?
La liste des corrections de ce SP :
http://support.microsoft.com/common/canned.aspx?R=d&H=List%20of%20Fixes%20in%20Microsoft%20Internet%20Explorer%206%20SP1&LL=&Sz=kbIE600sp1fix&Fr=&DU=&SD=GN&LN=EN-US&CND=1&VR=&CAT=&VRL=&SG=&MaxResults0
J'ai lu rapidement en diagonale sans trouver quelque chose qui ait rapport
:/
Je trouve la page sur Mozilla.org vraiment avare de détails techniques,
c'est très dommage. QUelques chose à améliorer dans le futur.
"Frederic Bezies" a écrit dans le message de news:cctk3j$ph6$
En lisant la fiche du bug : http://bugzilla.mozilla.org/show_bug.cgi?id%0180
Il est indiqué dans le 1er commentaire que cette fonctionnalité a été supprimée dans IE6 SP1 :
C'est du conditionnel, pas de l'indicatif.
Mhh, après relecture de diverses sources, je crois comprendre que c'est Windows qui aurait un comportement incorrect, comportement qui aurait du être corrigé par IE6 SP1 ?
La liste des corrections de ce SP : http://support.microsoft.com/common/canned.aspx?R=d&H=List%20of%20Fixes%20in%20Microsoft%20Internet%20Explorer%206%20SP1&LL=&Sz=kbIE600sp1fix&Fr=&DU=&SD=GN&LN=EN-US&CND=1&VR=&CAT=&VRL=&SG=&MaxResults0
J'ai lu rapidement en diagonale sans trouver quelque chose qui ait rapport :/ Je trouve la page sur Mozilla.org vraiment avare de détails techniques, c'est très dommage. QUelques chose à améliorer dans le futur.
Frederic Bezies
Le 07/12/2004 12:16 PM, Pierre Goiffon a écrit :
"Frederic Bezies" a écrit dans le message de news:cctk3j$ph6$
En lisant la fiche du bug : http://bugzilla.mozilla.org/show_bug.cgi?id%0180
Il est indiqué dans le 1er commentaire que cette fonctionnalité a été supprimée dans IE6 SP1 :
C'est du conditionnel, pas de l'indicatif.
Mhh, après relecture de diverses sources, je crois comprendre que c'est Windows qui aurait un comportement incorrect, comportement qui aurait du être corrigé par IE6 SP1 ?
Oui, en effet, c'est un comportement incorrect de Windows, et comme le protocole shell: n'existe que sous Windows...
La liste des corrections de ce SP :
Avec un minilien, c'est plus pratique :)
http://minilien.com/?Iq6ji19mEG
J'ai lu rapidement en diagonale sans trouver quelque chose qui ait rapport :/
Toi aussi ?
Je trouve la page sur Mozilla.org vraiment avare de détails techniques, c'est très dommage. QUelques chose à améliorer dans le futur.
Je suis d'accord avec toi sur ce point. Mais le plus important, c'est que la faille soit bouchée pour les utilisateurs de produits de mozilla.org pour windows, non ?
-- Frédéric Béziès -
Site Perso : http://perso.wanadoo.fr/frederic.bezies/ Weblog : http://fredbezies.blogspot.com/ Fourre-tout : http://perso.wanadoo.fr/frederic.bezies/pratique/
Le 07/12/2004 12:16 PM, Pierre Goiffon a écrit :
"Frederic Bezies" <mozjf@alussinan.org> a écrit dans le message de
news:cctk3j$ph6$1@news-reader5.wanadoo.fr
En lisant la fiche du bug :
http://bugzilla.mozilla.org/show_bug.cgi?id%0180
Il est indiqué dans le 1er commentaire que cette fonctionnalité a été
supprimée dans IE6 SP1 :
C'est du conditionnel, pas de l'indicatif.
Mhh, après relecture de diverses sources, je crois comprendre que c'est
Windows qui aurait un comportement incorrect, comportement qui aurait du
être corrigé par IE6 SP1 ?
Oui, en effet, c'est un comportement incorrect de Windows, et comme le
protocole shell: n'existe que sous Windows...
La liste des corrections de ce SP :
Avec un minilien, c'est plus pratique :)
http://minilien.com/?Iq6ji19mEG
J'ai lu rapidement en diagonale sans trouver quelque chose qui ait rapport
:/
Toi aussi ?
Je trouve la page sur Mozilla.org vraiment avare de détails techniques,
c'est très dommage. QUelques chose à améliorer dans le futur.
Je suis d'accord avec toi sur ce point. Mais le plus important, c'est
que la faille soit bouchée pour les utilisateurs de produits de
mozilla.org pour windows, non ?
--
Frédéric Béziès - mozjf@alussinan.org
Site Perso : http://perso.wanadoo.fr/frederic.bezies/
Weblog : http://fredbezies.blogspot.com/
Fourre-tout : http://perso.wanadoo.fr/frederic.bezies/pratique/
"Frederic Bezies" a écrit dans le message de news:cctk3j$ph6$
En lisant la fiche du bug : http://bugzilla.mozilla.org/show_bug.cgi?id%0180
Il est indiqué dans le 1er commentaire que cette fonctionnalité a été supprimée dans IE6 SP1 :
C'est du conditionnel, pas de l'indicatif.
Mhh, après relecture de diverses sources, je crois comprendre que c'est Windows qui aurait un comportement incorrect, comportement qui aurait du être corrigé par IE6 SP1 ?
Oui, en effet, c'est un comportement incorrect de Windows, et comme le protocole shell: n'existe que sous Windows...
La liste des corrections de ce SP :
Avec un minilien, c'est plus pratique :)
http://minilien.com/?Iq6ji19mEG
J'ai lu rapidement en diagonale sans trouver quelque chose qui ait rapport :/
Toi aussi ?
Je trouve la page sur Mozilla.org vraiment avare de détails techniques, c'est très dommage. QUelques chose à améliorer dans le futur.
Je suis d'accord avec toi sur ce point. Mais le plus important, c'est que la faille soit bouchée pour les utilisateurs de produits de mozilla.org pour windows, non ?
-- Frédéric Béziès -
Site Perso : http://perso.wanadoo.fr/frederic.bezies/ Weblog : http://fredbezies.blogspot.com/ Fourre-tout : http://perso.wanadoo.fr/frederic.bezies/pratique/
Mathieu
Pierre Goiffon wrote:
Je trouve la page sur Mozilla.org vraiment avare de détails techniques, c'est très dommage. QUelques chose à améliorer dans le futur.
C'est a mozilla.org qu'il faut le dire, pas a fcwin...
-- mat ~ http://www.openweb.eu.org/ | http://www.nekeme.net/ They can't stop us... we're on a mission from God! -- The Blues Brothers
Pierre Goiffon wrote:
Je trouve la page sur Mozilla.org vraiment avare de détails techniques,
c'est très dommage. QUelques chose à améliorer dans le futur.
C'est a mozilla.org qu'il faut le dire, pas a fcwin...
--
mat ~ http://www.openweb.eu.org/ | http://www.nekeme.net/
They can't stop us... we're on a mission from God!
-- The Blues Brothers
