ID: IRCNE2014052180
Date: 2014-05-03

According to “ComputerWorld”, Microsoft shipped an emergency update for Internet Explorer to close a hole that hackers had already been exploiting.
But in an unexpected move, Microsoft allowed Windows XP machines to receive the update, even though it had long held that the 13-year-old operating system had absolutely, positively retired on April 8.
In fact, today's turnabout was bigger news than the security update itself, something Microsoft tacitly acknowledged by posting a long blog post that dealt not with the patch or the vulnerability, but with its decision to give XP customers a break.
In that blog, Adrienne Hall, a general manager in Microsoft's Trustworthy Computing group, made plain that today's release was the exception, not the rule, going forward. "We made this exception based on the proximity to the end of support for Windows XP," Hall wrote.
Microsoft dropped XP from its support list three weeks ago.
MS13-021 patched a single vulnerability in IE6, IE7, IE8, IE9, IE10 and the newest, IE11, on all supported editions of Windows, as well as XP. The bug was rated "critical" for all client versions of Windows -- XP, Vista, Windows 7, Windows 8 and Windows 8.1 -- but "moderate," two steps down in its four-step threat scoring system, for all Windows Server editions.
The critical vulnerability was first reported to Microsoft by FireEye last week. On Saturday, Microsoft issued a security advisory that offered several temporary ways to defend PCs from attacks.
This patch can be downloaded and installed via the Microsoft Update and Windows Update services, as well as through Windows Server Update Services (WSUS).

شماره: IRCNE2014042179
تاريخ:10 /02/93

زيمنس يك به روز رساني امنيتي را براي برطرف نمودن آسيب پذيري Heartbleed در سيستم هاي SCADA (SIMATIC WinCC Open Architecture) منتشر كرد. سيستم هاي SCADA در صنايع براي اجراي فرآيندها، ماشين ها و محصولات به طور گسترده استفاده مي شود.
آسيب پذيري Heartbleed يك حفره امنيتي بحراني است كه اوايل اين ماه در OpenSSL كشف شد. اين آسيب پذيري مي تواند براي استخراج رمزهاي عبور، كليدهاي رمزگذاري و ساير اطلاعات حساس از حافظه سرورها و كلاينت هاي TLSاي كه رمزگذاري ارتباطات آن ها مبتني بر OpenSSL است، مورد سوء استفاده قرار بگيرد.
روز جمعه شركت زيمنس راهنمايي امنيتي محصولات خود را براي آسيب پذيري HeartBleed به روز رساني كرد و اعلام كرد كه WinCC OA نسخه 3.12-P006 آسيب پذيريWinCC OA نسخه 3.12 را برطرف مي نمايد.
آسيب پذيري HeartBleed محصولات ديگر زيمنس را نيز تحت تاثير قرار داده است. اين محصولات عبارتند از: eLAN نسخه هاي پيش از 8.3.3 در حالي كه از RIP استفاده كنند، S7-1500 نسخه 1.5 زماني كه HTTPS فعال باشد، CP1543-1 نسخه 1.1 هنگامي كه FTPS فعال باشد و APE نسخه 2.0 در صورتي كه مولفه SSL/TLS در پياده سازي مشتري استفاده شده باشد.
شركت زيمنس اعلام كرد كه مشتريان ELAN مي توانند براي اصلاح اين آسيب پذيري، محصول خود را به نسخه 8.3.3 به روز رساني نمايند اما تاكنون اصلاحيه اي براي ساير محصولات آسيب پذير منتشر نشده است. اين شركت پيشنهاد مي كند براي كاهش خطرات، در S7-1500دسترسي به وب سرور را محدود يا غيرفعال نمايند و هم چنين در CP1543-1 دسترسي به FTPS را محدود و يا غيرفعال نمايند.
مشتريان APE 2.0 نيز مي توانند OpenSSL موجود در اين محصول را با توجه به دستورات ارائه شده در راهنمايي امنيتي بر روي وب سايت RuggedCom، به نسخه 1.0.1g ارتقاء دهند.

Number:IRCNE2014042179
Date: 2014-04-30

According to “techworld”, Siemens released a security update to address the Heartbleed vulnerability in SIMATIC WinCC Open Architecture, a supervisory control and data acquisition (SCADA) system that's used in a large number of industries to operate processes, machines and production flows.
Heartbleed is a critical security flaw discovered earlier this month in OpenSSL, the most popular implementation of the TLS (Transport Layer Security) and SSL (Secure Sockets Layer) protocols.
The vulnerability can be exploited to extract passwords, encryption keys and other potentially sensitive information from the memory of TLS servers and clients that rely on OpenSSL for encrypted communications.
Siemens updated its Heartbleed security advisory Friday to announce the availability of WinCC OA version 3.12-P006 that fixes the flaw for WinCC OA 3.12, the only affected version of the product according to the company.
However, Heartbleed also affects other Siemens products: eLAN prior to version 8.3.3 when RIP is used, S7-1500 V1.5 when HTTPS is active, CP1543-1 V1.1 when FTPS is active and APE 2.0 when the SSL/TLS component is used in customer implementations.
ELAN customers can solve the security issue by updating to version 8.3.3, but the other affected products are yet to receive patches. In the meantime, Siemens suggests several mitigations in its security advisory that involve disabling or restricting access to the web server in S7-1500 and disabling or restricting access to FTPS in CP1543-1.
APE 2.0 customers can upgrade the OpenSSL installation in the product to version 1.0.1g by following instructions in a separate advisory published on the RuggedCom website.

شماره: IRCNE2014042177
تاريخ:09 /02/93

شركت ادوب نسخه جديدي از فلش پلير را براي ويندوز، مكينتاش و لينوكس منتشر كرد. در اين نسخه يك آسيب پذيري اصلاح شده است.
نسخه هاي آسيب پذيري عبارتند از: نسخه 13.0.0.182 و نسخه هاي پيش از آن براي ويندوز، نسخه 13.0.0.201 و نسخه هاي پيش از آن براي ميكنتاش و نسخه 11.2.202.350 و نسخه هاي پيش از آن براي لينوكس. برخي از اين نسخه ها در گوگل كروم و IE نسخه 10 و 11 تعبيه شده است كه از طريق مكانيزم به روز رساني خودكار اين مرورگرها اصلاح مي شود.
نسخه اصلاح شده فلش پلير براي ويندوز و مكينتاش نسخه 13.0.0.206 و براي لينوكس نسخه 11.2.202.356 مي باشد.
اين آسيب پذيري و حملات آن ربطي به آسيب پذيري اصلاح نشده IE كه اخيرا افشاء شده است ندارد. اين آسيب پذيري با CVE-2014-0515 شناخته مي شود توسط Alexander Polyakov از آزمايشگاه كسپراسكي به شركت گوگل گزارش شده است.

شماره: IRCNE2014042178
تاريخ: 09/93/02

هفته گذشته موسسه نرم افزاري آپاچي چارچوب كاري محبوب Apache Struts را به روز رساني كرد. نسخه اصلاح شده 2.3.16.2 مي باشد كه حفاظت در برابر مساله دستكاري ClassLoader از طريق ويژگي ParametersInterceptor را سخت تر مي كند. به نظر مي رسيد كه اين مساله در نسخه 2.3.16.1 كه ماه مارس منتشر شد برطرف شده است.
روز پنج شنبه توسعه دهنده Struts به كاربران هشدار داد كه اصلاحيه هاي گذشته كامل نمي باشد و تا زمان انتشار نسخه جديد اين چارچوب كاري براي ارتقاء برنامه هاي كاربردي Java Web، از راهكارهاي مقابله موقتي استفاده نماييد.
اما روز بعد نسخه اصلاح شده اين چارچوب كاري منتشر شد. در نسخه 2.3.16.2 علاوه بر مشكل بالا، مشكل موجود در CookieInterceptor كه همان آسيب پذيري دستكاري ClassLoader مي باشد، نيز برطرف شده است.
مهاجمان در گذشته از آسيب پذيري هاي اجراي كد از راه دور در Apache Struts سوء استفاده مي كردند تا كنترل سرورهايي كه ميزبان برنامه هايي بر روي اين چارچوب كاري بودند را بدست آورند. محققان امنيتي از شركت ترند ميكرو در ماه اوت گزارش دادند كه هكرهاي چيني ابزار خودكاري را طراحي كرده اند كه مي تواند از آسيب پذيري هاي شناخته شده Struts سوء استفاده نمايد.
به علت علاقه مهاجمان به آسيب پذيري هاي Struts، احتمال خطر سوء استفاده از اين آسيب پذيري ها افزايش مي يابد در نتيجه به كاربران اكيدا توصيه مي شود تا در اسرع وقت Struts را به نسخه 2.3.16.2 ارتقاء دهند.
هم چنين محصولات شركت هاي ثالث نيز به دليل استفاده از Struts ممكن است تحت تاثير اين رخنه قرار داشته باشند كه بايد نسبت به اعمال به روز رساني ها اقدام نمايند. به عنوان مثال در گذشته شركت سيسكو برخي از محصولات خود را به دليل اصلاح آسيب پذيري هاي Struts، به روز رساني نمود.

Number:IRCNE2014042177
Date: 2014-04-29

According to “computerworld”, the vulnerable versions are 13.0.0.182 and earlier versions for Windows; 13.0.0.201 and earlier versions for Macintosh; and 11.2.202.350 and earlier versions for Linux. These same versions embedded in Internet Explorer 10 and 11 and in Google Chrome will be updated automatically through those products' update mechanisms.
The new versions are 13.0.0.206 for Windows and Mac and 11.2.202.356 for Linux.
This attack and update are unrelated to the zero day IE vulnerability just disclosed, the attack for which uses a Flash .SWF file as an attack vector. In that case no vulnerability has been indicated in Flash itself.
The vulnerability, which will be designated CVE-2014-0515, was reported to Google by Alexander Polyakov of Kaspersky Labs.

Number:IRCNE2014042178
Date: 2014-04-29

According to “computerworld”, the Apache Software Foundation rushed last week to update the popular Apache Struts framework after a previous security patch for a high-risk vulnerability proved to be incomplete.
The newly released Struts 2.3.16.2 strengthens the protection against a ClassLoader manipulation issue through the ParametersInterceptor feature that was thought to have been resolved in March in Struts 2.3.16.1.
The Struts developers warned users Thursday that the previous patch was insufficient and provided manual mitigation instructions until a new version of the framework for developing Java Web applications was ready.
Struts 2.3.16.2 was released later that day and extends the fix to CookieInterceptor, another functionality that according to a new advisory is vulnerable to the same type of ClassLoader manipulation attack when configured to accept all cookies.
Attackers have exploited remote code execution vulnerabilities in Apache Struts in the past to compromise servers that hosted applications developed with the framework. Security researchers from Trend Micro reported in August that Chinese hackers had created an automated tool for exploiting known Struts vulnerabilities.
The fact that attackers are interested in Struts increases the risk of attacks for users, so upgrading to the newly released Struts 2.3.16.2 as soon as possible is highly recommended.
There are also third-party products that include Struts and might need to be patched because of this flaw. For example, in the past, Cisco Systems updated several of its products in order to integrate a Struts patch for a critical vulnerability.

شماره: IRCNE2014042175
تاريخ:08/02/93

شركت مايكروسافت روز شنبه اعلام كرد كه مجرمان سايبري از يك آسيب پذيري بحراني و اصلاح نشده IE در حملات drive-by سوء استفاده مي كنند. در راهنمايي امنيتي اين شركت آمده است كه تمامي نسخه هاي IE تحت تاثير اين آسيب پذيري قرار دارند.
شركت مايكروسافت اعلام كرد كه اصلاحيه IE6 تنها براي ويندوز سرور 2003 منتشر مي شود. و از آن جا كه انتشار به روز رساني هاي ويندوز XP در هشتم آوريل متوقف شد، اين نسخه از IE براي ويندوز XP اصلاحيه اي دريافت نمي كند. اين حفره اولين آسيب پذيري كشف شده پس از توقف به روز رساني هاي XP مي باشد كه اين سيستم عامل را تحت تاثير قرار مي دهد.
از آن جايي كه در نهايت شركت مايكروسافت اين آسيب پذيري را در IE نسخه هاي 6، 7 و 8 بر روي ويندوز ويستا و 7 برطرف مي كند، اين احتمال وجود دارد كه مهاجمان بتوانند از اين رخنه بر روي مرورگرهاي مشابه در حال اجرا بر روي ويندوز XP سوء استفاده نمايند.
شركت مايكروسافت اعلام كرده بود كه پس از توقف به روز رساني هاي XP، احتمال آلودگي اين سيستم با بدافزار ها به 66 درصد مي رسد.
به كاربران ويندوز XP توصيه اكيد مي شود كه در صورت امكان سيستم عامل خود را ارتقاء دهند. در صورتي كه قادر به اين كار نمي باشند به آن ها توصيه مي شود براي حفاظت بيشتر در برابر احتمال سوء استفاده از اين آسيب پذيري، بسته Enhanced Mitigation Experience Toolkit (EMET) 4.1 را از روي وب سايت مايكروسافت دانلود كرده و بر روي سيستم خود نصب نمايند. هم چنين مي توانند به جاي مرورگر IE از مرورگرهاي ديگر مانند كروم يا فايرفاكس استفاده نمايند.

شماره: IRCNE2014042176
تاريخ:08 /02/93

هكرها ادعا كردند كه يك آسيب پذير جديد در نسخه اصلاح شده OpenSSL وجود دارد. محققان امنيتي اظهار داشتند كه نسبت به صحت اين ادعا مشكوك هستند.
يك گروه پنج نفري از هكرها در يك يادداشتي در Pastebin نوشتند: دو هفته براي يافتن اين آسيب پذيري و نوشتن كد سوء استفاده آن وقت صرف كردند. حفره جديد موجود در OpenSSL مي تواند مانند حفره HeartBleed سيستم ها را تحت تاثير قرار دهد.
كتابخانه منبع باز OpenSSL توسط ميليون ها وب سايت براي برقراري ارتباطات امن بين رايانه سرور و كلاينت مورد استفاده قرار مي گيرد. اوايل ماه آوريل حفره اي در OpenSSL با نام HeartBleed افشاء شد كه ميتوانست براي افشاي اعبتارنامه هاي ورودي يا سرقت كليد خصوصي SSL سرور مورد سوء استفاده قرار بگيرد. حدود دو سوم از وب سايت هايي كه تحت تاثير اين رخنه قرار گرفتند، كتابخانهOpenSSL را اصلاح نمودند.
هكرها اظهار داشتندكه يك آسيب پذيري سرريز بافر را پيدا كردند كه شبيه HeartBleed است. آن ها مدعي شده اند كه يك خطايي را در مديريت متغير "DOPENSSL_NO_HEARTBEATS" كشف كردند.
اين هكرها تاكنون كد سوء استفاده خودشان را منتشر نكرده اند بنابراين راهي براي بررسي صحت ادعاي آن ها وجود ندارد. اين گروه براي پاسخ گويي به سوالات، آدرس پست الكترونيكي را اعلام كردند اما پاسخي به پست هاي ارسالي داده نشده است.

شماره: IRCNE2014042174
تاريخ:08 /02/93

روز يكشنبه شركت مايكروسافت تاييد كرد كه يك آسيب پذيري اصلاح نشده جديد در تمامي نسخه هاي IE كشف شده است.
بنا به راهنمايي امنيتي كه توسط مايكروسافت منتشر شده است: اين آسيب پذيري كه مي تواند منجر به اجراي كد از راه دور شود در برخي از حملات هدفمند و محدود استفاده شده است.
با توجه به گزارشات شركت امنيتي FireEye كه براي اولين بار اين آسيب پذيري را گزارش داده است: در حالي كه تمامي نسخه هاي مرورگر وب، IE 6 تا IE 11 تحت تاثير اين آُسيب پذيري قرار دارند اما در حال حاضر نسخه هاي 9، 10 و 11 هدف حمله قرار گرفته است.
اين حملات از يك آسيب پذيري استفاده پس از آزادسازي استفاده مي كنند و هر دو محافظت هاي DEP و ASLR را دور مي زند. در حال حاضر اين آُسيب پذيري توسط گروهي از هكرها براي حمله به سازمان هاي دفاعي و مالي امريكا مورد سوء استفاده قرار مي گيرد.
شركت FireEye اعلام كرد كه اين آسيب پذيري مهمي است زيرا بيش از يك چهارم از تمامي مرورگرهاي جهان را تحت تاثير قرار داده است.
شركت مايكروسافت نيز اعلام كرد كه در حال بررسي اين آسيب پذيري است و در اسرع وقت يك به روز رساني امنيتي خارج از نوبت را براي برطرف شدن اين مساله منتشر خواهد كرد.
[ به روز رساني خبر: شركت مايكروسافت براي محدودسازي آسيب پذيري و مقابله با آن، راهكارهايي را ارائه داده است. براي مشاهده جزئيات اين راهكارها به راهنمايي امنيتي اين آسيب پذيري مراجعه نماييد.]