BugTraq

Xakep, номер #040, стр. 040-008-4

Также замечу, что скрипт жмется прямо в тег, а не вызывается по указанному URL'у. Outlook имеет ограничение в 2000 знаков на длину УРЛ'a. Но выделенного пространства оказывается вполне достаточно для кода примитивного червя, который, в свою очередь, с запуском проэксплойтит, к примеру, один из многочисленных багов не залатанного IE в системе. Решение: запретить обработку 'about:' и 'javascript:' URL'ов, как то уже сделал широко известный Hotmail-сервис для своих юзеров. Только плакал тогда любимый 'about:blank' ;).

Проблема 3 - вовсе и не проблема в стандартном понимании. Сие лишь недочет в отношении горячо любимого заморским братом 'privacy'. Так что, даже с запретом cookies'ов по умолчанию в Outlook 2002, к Джону Волкеру легко ляжет 'кукис' по прочтении HTML-письма. Более подробно о проблеме автор распространяется здесь http://www.computerbytesman.com/privacy/cookleak.htm.

Проблема 4, она же последняя для данного выпуска. Родственные IE и Outlook не находят взаимопонимания при обработке .URL-файлов. В то время как IE спокойно обрабатывает столь обыденное филе, Аутлох кричит о небезопасности его обработки. Подобное случается, когда используется команда браузера 'Send a link' с последующим открытием почтового клиента для посылки выбранного линка. Именно в данный момент раздается надоедливый крик об опасности выбранного к отсылке файла (подобное предупреждение, предположительно, выскочит и у получателя, если он использует Outlook). Каким образом линк на некую веб-страницу может быть опасным - для меня остается тайной ;). Решение проблемы не подвластно простому смертному. Нам остается лишь ожидать, когда IE перестанет засылать линки отдельными .URL-файлами или Outlook научится лояльности в отношении описываемого типа филея. Наиболее логичным я вижу фильтрацию URL'ов, содержащих путевку на исполняемые файлы и разрешение к обработке 'обычных' линков.

Все проблемы объединяются категорией "Ошибка дизайна". Последней проблеме SecFoc не присвоил отдельного BID'a (вполне заслуженно), так что обязательным оказывается прочтение полной версии постинга автора. Автора, который практически полностью снимает с себя ответственность за высказанное, утверждая, что багги не были опробованы в реальных боевых действиях.