BIG BUG

6 nov 2002 - O sueco Andreas Sandblad divulga numa mailing list sobre segurança em informática uma falha grave do browser Microsoft Internet Explorer, ele não apenas explica tecnicamente o problema, como também mostra um código de um simples script que, incluído numa pagina HTML, tem a capacidade de executar vários comandos numa máquina rodando Windows, podendo inclusive, após uma simples modificação, deletar qualquer arquivo e mesmo todo o HD da sua máquina.

http://online.securityfocus.com/archive/1/298748

19 nov 2002 - A Wired divulga a nota de Sandblad e discute questões éticas : Um código deste deve ser divulgado publicamente ou não? A partir desta matéria qualquer pessoa mal intencionada e com mínimos conhecimentos de informática, pode começar a espalhar páginas infectadas com altíssimo poder destrutivo, ou mesmo enviar o script por e-mail, o Outlook Express é também vulnerável à falha.

http://www.wired.com/news/infostructure/0,1377,56463,00.html

19, 20 e 21 nov 2002 - Vários blogs antenados, a partir da matéria da Wired chamam a atenção para o problema, ressaltando o fato de que a Microsoft ainda não corrigiu a falha.

http://www.crisdias.com/weblog/index.php?w=20021117#10305083
http://www.exquisite.com.br/martelada/
http://nominimo.ibest.com.br/

20 nov 2002 - A Microsoft finalmente disponibiliza a correção necessária na forma de um "Cumulative Patch for Internet Explorer"

http://www.microsoft.com/windows/ie/downloads/critical/q328970/default.asp

22 nov 2002 - A partir do código divulgado pelo sueco, faço alguns testes e comprovo a vulnerabilidade de várias máquinas no meu trabalho e no PC de casa também, instalo o patch da Microsoft e os problemas estão (por enquanto) resolvidos.

Depois desta história toda eu recomendo bastante aos leitores deste weblog o seguinte procedimento:

1. Faça o teste se o seu IE é vulnerável: Vá no link abaixo e observe o resultado:

http://members.chello.be/cr48655/script/testscript.html

é uma página inofensiva, que eu criei a partir do artigo do Sandblad, ela será capaz de :
a. abrir o help do IE
b. abrir um programa windows , no caso o game winmine.
c. abrir uma janela em DOS com a mensagem "You are vulnerable"
d. criar no seu HD o arquivo C:\vulnerable.txt

2. Se o seu IE é vulnerável ele vai executar todos os itens de "a" a "d" da lista acima, e neste caso vá urgentemente no site da Microsoft citado acima e instale o patch.

3. Depois do patch instalado , faça um restart da sua máquina e teste o script novamente, se ele abrir apenas o help do IE é sinal que a correção foi feita com sucesso. Se outros sintomas aparecerem consulte um técnico antes que seja tarde demais.