[Rika]

Dann speichere mal im Firefox das Bild auf die Platte und vergleiche, ob es überhaupt noch identisch mit dem Original ist.

[EDragon]

Wenn ich den RAM Cache auf null (oder auch andere Werte) stelle meldet der Scanner trotzdem nichts. jpg speichern ging vorher auch schon mit der Erkennung. Kapier gar nix mehr.

[Rika]

Kann immer noch daran liegen daß der Browser-Cache ja verschlüsselt wird, je nach Dateigröße wird die zu cachende Datei dann ohne eine temporäre Zwischendatei direkt hineinverschoben.

[EDragon]

Wenn ich das jetzt richtig sehe, wird, wenn der RAM-Cache aus ist, das jpg in den Browser-Cache der Festplatte Verschoben. Also findet ein Dateizugriff statt, den Kasper nicht meldet. Fehler in Kasper? Kann das ausgenutzt werden? Müssen wir nun ohne jeglichen Browser-Cache surfen?

Merkwürdig finde ich auch, dass FF in den Bildeigenschaften einen Fehler im Bild meldet, dieses aber dennoch anzeigt.



Sieht für mich so aus, als ob nicht nur der IE ein Prob mit so was hat.

[EDragon]

Zitat (BAstiL: 23.10.2004, 05:51)

Wie kann ich dem Firefox das abgewöhnen? Hast du eine Idee, wie man die Erkennung des Exploit im Browserfesster erzwingen kann?

Müsste man nicht eher im Kasper das Scannen von jpg Bildern erzwingen? Geht das nicht nur mit der Pro Version?

[DK2000]

Ich habe da mal mit meinem Virenscanner (AntiVir Personal) und der preparierten Datei etwas rumgespielt und muss sagen, die Datei wird nur in bestimmten Fällen erkannt.

Beim Internet Explorer wird die Datei garnicht erst angzeigt, sondern der Scanner findet diese und schlägt sofort Alarm (auch wenn der IE sich dann etwas komisch vorkommt, das eine Datei, die gerade noch da war, plötlich verschwunden ist).

Bei Firefox hat der Scanner keine Wirkung. Die Datei wird normal angezeigt und im Cache selber wird die Datei auch nicht als Virenbehaftet angezeigt, obwohl sie dort nachweislich war. Das liegt zu einem daran, das die Dateien im Mozilla/Firefox Cache keine Dateiendungen haben und somit ersteinmal vom Scanner nicht beachtet werden. Wenn man allerdings alle dateien scannt, wird auch nichts gefunden. Das hängt irgendwie damit zusammen, dass Mozilla/Firefox die Dateien ändert (die Änderungen lassen sich aber mit einem Hexeditor wieder rückgängig machen - so habe ich die entsprechende Datei letztendlich gefunden) und der Scanner das irgendwie falsch interpretiert und den Scan nicht auf die gesammte Datei ausdehnt.

Leider wird auch nichts erkannt, wenn sich das Bild innerhalb eines Worddokumentes befindet, obwohl der Virus nach wie vor in Takt ist. Auch hier schlägt der Scanner nicht an, was in so fern gefährlich ist, da das Problem mit der JPEG-Sicherheitslücke nicht auf Micsrosoft Betriebssystem oder Programme begrenzt ist. Jede andere Anwendung von Drittanbietern, welche JPEGs in Verbindung mit GDI+ verarbeitet, kann u.U. von diesem Problem auch betroffen sein und zu einem Sicherheitsproblem werden.

[EDragon]

Alternatives GDI+ Scanproramm
http://isc.sans.org/gdiscan.php


Deckt dann, so viel ich weiß, schon mal Schwachstellen auch in Drittanbieter-Software auf. Leider behebt es nichts und man muss hoffen, dass die Hersteller reagieren. Ich habe vom Scanner gemeldetete fehlerhafte Drittanbieter-DLL's durch MS-DLL's, die als "sicher" gelten, ersetzt. Die entsprechenden Anwendungen funktionieren noch, deshalb dachte ich eigentlich das Prob damit behoben zu haben.

Tja, löst leider nicht das Browser-Problem. Und nach deinen Ausführungen muss Mozilla aktiv werden und das Format in dem Cache ändern?