Internet Explorer 7 Popup Address Bar Spoofing Weakness

[Shu_b]

Internet Explorer 7 Popup Address Bar Spoofing Weakness
Secunia Advisory: SA22542 Release Date: 2006-10-25

Critical: Less critical
Impact: Spoofing
Where: From remote
Solution Status: Unpatched

Software: Microsoft Internet Explorer 7.x

Description:
A weakness has been discovered in Internet Explorer, which can be exploited by malicious people to conduct phishing attacks.

The problem is that it's possible to display a popup with a somewhat spoofed address bar where a number of special characters have been appended to the URL. This makes it possible to only display a part of the address bar, which may trick users into performing certain unintended actions.

Secunia has constructed a demonstration, which is available at:
http://secunia.com/internet_explorer...spoofing_test/

The weakness is confirmed in Internet Explorer 7 on a fully patched Windows XP SP2 system.

Solution: Do not follow links from untrusted sources.
Provided and/or discovered by: Discovered by an anonymous person.
secunia.com

[ALEX(XX)]

25 октября, 2006

Программа: Microsoft Internet Explorer 7.x


Опасность: Низкая

Наличие эксплоита: Да

Описание:
Уязвимость позволяет удаленному пользователю произвести спуфинг атаку.
Уязвимость существует из-за того, что злоумышленник может добавить специальные символы к URL, открывающемся во всплывающем окне. В результате, в всплывающем окне будет отображена часть адресной строки, что может позволить злоумышленнику обманом заставить пользователя произвести некоторые действия. Пример:
secunia.com/internet_explorer_7_popup_address_bar_spoofing_tes t/

URL производителя: microsoft.com
Решение: Способов устранения уязвимости не существует в настоящее время.

securitylab.ru

[ALEX(XX)]

Проверил у себя, если выставить режим блокировать ВСЕ всплывающие окна, то всё ОК. по умолчанию стоит блокировать большинство.