Патч для IE не закрывает дыру, для которой предназначен
Ktirf // 10.09.03 12:19
Речь идет о кумулятивном патче 822925, который в придачу к ранее исправлявшимся уязвимостям исправляет (точнее, должен исправлять) еще две.
[Не забывайте при копировании материала указывать полный адрес источника: http://www.bugtraq.ru/rsn/archive/2003/09/20.html]
Одна из них была обнаружена экспертами из компании eEye Digital Security около четырех месяцев назад и позволяет достаточно легко исполнить произвольный код на клиентской машине (достаточно написать HTML с "неправильным" object type и прислать его на пользовательский Outlook Express либо заманить на сайт). Те же специалисты eEye сообщили и о том, что патч на самом деле не устраняет эту уязвимость.
Патч был сначала выпущен 20 августа, а затем повторно выпущен 28 августа из-за того, что в некоторых ситуациях вызывал проблемы с определенными конфигурациями операционной системы. Теперь, похоже, придется выпустить еще один вариант этой поправки. Пока же Microsoft изучает отчет eEye, утверждает, что ни один из заказчиков от этой уязвимости не пострадал, и продолжает распространять оригинальный патч. Кстати, уровень опасности для уязвимостей, упоминаемых в этом патче, оценен как критический.
