ID: IRCNE2013031778
Date: 2013-03-09

According to "zdnet", apple has finally fixed a security flaw in its application store that for years has allowed attackers to steal passwords and install unwanted or extremely expensive applications.
The flaw arose because Apple neglected to use encryption when an iPhone or other mobile device tries to connect to the App Store, meaning an attacker can hijack the connection. In addition to a security flaw, the unencrypted connections also created a privacy vulnerability because the complete list of applications installed on the device are disclosed over Wi-Fi.
It also allows the installation of apps, including extremely expensive ones that top out at $999.99, without the user's consent, which can create serious consequences because Apple doesn't give refunds. To do this, an attacker needs to be on the same private or public Wi-Fi network, including, for example, a coffeeshop, hotel, or airport network.
Security researcher Elie Bursztein discovered the vulnerability and reported it to Apple last July. Apple fixed the problem in a recent update that said "content is now served over HTTPS by default." Apple also thanked Bernhard Brehm of Recurity Labs and Rahul Iyer of Bejoi.
Bursztein, who works at Google, in Mountain View, Calif., but emphasized this was work done at home in his spare time, published a personal blog post today that described details about the App Store vulnerability and included videos of how an attacker was able to steal passwords or install unwanted apps.
Publicizing this flaw, Bursztein said, highlighted how necessary encrypted HTTPS connections were. "Many companies don't realize that HTTPS is important for mobile apps," he said.

ID: IRCNE2013031777
Date: 2013-03-09
According to "zdnet", Microsoft will release seven fixes next week for Windows, Internet Explorer and Office, as well as a small handful for Windows Server and Silverlight, to address a number of security vulnerabilities.
The software giant warns that four of the patches will fix 'critical' vulnerabilities.
Three of the four 'critical' flaws affect Windows, Internet Explorer, Office, Windows Server and SharePoint, which could all lead to remote code execution—such as allowing hackers access to install malware without user prompts or permission. The flaws rated 'important' could lead to an elevation of user privileges or the disclosure of user data or personal information.
The most worrying vulnerability affects all versions of Windows XP (Service Pack 3) and above, including Vista, Windows 7 and Windows 8—including tablets running Windows RT—along with all versions of Internet Explorer 6 and above.
A second flaw relates to Silverlight, a popular Web plug-in used in replacement of Flash—often used by Netflix users—will also require patching to address a critical vulnerability that affects both Windows and Apple OS X machines.
The third 'critical' flaw affects Visio, an Office application, as well as a separate flaw in the Office Filter Pack.
The fourth and final 'critical' update fixes a flaw that would allow an elevation of user privileges in SharePoint, Microsoft's Web-based content management (CMS) and portal service. The remaining 'important' bulletins also include Mac users running Office for Mac 2008 and 2011.
Microsoft doesn't release the full details of the vulnerabilities until patches are made available.
This should serve as an advisory notice for the upcoming Tuesday, March 12, when the patches are released through the usual update channels.

شماره: IRCNE2013031776
تاريخ: 16/12/91

روز دوشنبه شركت گوگل اصلاحيه‌اي را براي 10 آسيب‌پذيري در كروم ارائه كرد. اين در حالي است كه تنها دو روز به شروع مسابقه هك موسوم به Pwn2Own باقي مانده بود كه در آن، جايزه‌اي معادل صد هزار دلار به اولين هكر مرورگر اختصاص مي‌يابد.
اين شركت روز دوشنبه در يك به‌روز رساني براي نسخه‌هاي ويندوزي و لينوكسي – به‌روز رساني نسخه OS X روز جمعه عرضه شده بود- 10 نقص امنيتي را ترميم نمود كه 6 نقص از اين مجموعه، در رده امنيتي با خطر بالا (رتبه دوم رده‌بندي تهديدات) قرار گرفته‌اند. 3 نقص از 4 نقص باقيمانده در سطح متوسط و يكي هم در سطح كم عنوان شده است.
اصلاحيه ارائه شده امروز به دنبال دسته بزرگ‌تري از اصلاحيه‌هاي امنيتي ارائه شده در تاريخ 21 فوريه است؛ كه كروم را براي مواجهه با Pwn2Own مستحكم‌تر مي‌سازد. Pwn2Own يك مسابقه هك است كه در تاريخ 6 مارس در كنفرانس امنيتي CanSecWest در ونكور كانادا برگزار مي‌گردد.
گوگل به Pwn2Own مبلغ قابل توجهي را كمك كرده است كه شامل 100 هزار دلار جايزه اولين هكر نفوذگر به نسخه فعلي كروم قابل نصب بر روي ويندوز 7 نيز مي شود.
از 10 آسيب‌پذيري اصلاح شده در اين اصلاحيه، چهار آسيب‌پذيري توسط سه محقق مختلف و مستقل شناسايي و گزارش شده بودند.
ساير توليدكنندگان مرورگرها نيز اخيراً نرم‌افزارهاي خود را اصلاح كرده و براي مسابقه Pwn2Own آماده ساخته‌اند.

ID: IRCNE2013031776
Date: 2013-03-06

According to “ComputerWorld”, Google on Monday patched 10 vulnerabilities in Chrome, just two days before the start of Pwn2Own, a hacking contest that has $100,000 in prize money waiting for the first researcher to crack the browser.
In an update Monday for the Windows and Linux versions -- Google patched the OS X edition on Friday -- the company fixed 10 flaws, six of them marked as "high," the second-most-serious threat ranking. Of the remaining bugs, three were pegged as "medium" and one as "low."
Today's patches follow a larger batch issued Feb. 21, and further harden Chrome as it faces Pwn2Own, the hacking challenge that kicks off March 6 at the CanSecWest security conference in Vancouver, British Columbia.
Google has contributed money to Pwn2Own's prize pool, which includes a $100,000 award to the first researcher who hacks the current version of Chrome on Windows 7.
Of the 10 vulnerabilities patched today, four were reported by three independent researchers.
Other browser makers have also recently patched their software, perhaps with an eye on Pwn2Own.

شماره: IRCNE2013031775
تاريخ:15/12/91

مهاجمان مي توانند از قفل صفحه گوشي هوشمند سامسونگ Galaxy Note II عبور نمايند. اين مساله اولين بار توسط Terence Eden كشف شد. او رخنه اي را تشريح كرد كه به يك مهاجم اجازه مي دهد تا از الگوي قفل دستگاه، PIN كد، رمز عبور طويل و حتي ويژگي هاي امنيتي باز كردن قفل عبور نمايند.
در حال حاضر مشخص نيست كه اين رخنه در دستگاه سامسونگ، در پلت فرم اندرويد و يا در هر دو قرار دارد. با اين حال اين رخنه ممكن است به گوشي هاي سامسونگ Note II يا اندرويد 4.1.2 محدود نشود و كاربران و مديران فناوري بايد بلافاصله دستگاه هاي خود را مورد آزمايش قرار دهند.
يك مهاجم از روي يك صفحه قفل شده گوشي مي تواند با مركز فوريت ها تماس بگيرد. سپس با پايين نگه داشتن دكمه اصلي مي توان قفل صفحه را باز نمود.
Eden اين مساله را تنها بر روي يك كلاس از گوشي ها، گوشي هاي سامسونگ Note II در حال اجراي اندرويد 4.1.2 بررسي كرده است. او اشاره كرد كه اگر به منظور محافظت از گوشي خود، قفل آن را به يك قفل صفحه شركت ديگر تغيير دهيد، در صورتي كه بتوانيد به شماره گيري فوري دسترسي داشته باشيد، تاثيري نخواهد داشت.
Eden اظهار داشت: هنگامي كه برنامه هاي كاربردي به طور خودكار در پس زمينه صفحه اصلي گوشي مشاهده مي شوند، اين نگراني وجود دارد كه مهاجم مي تواند برنامه هاي نصب شده بر روي گوشي را ببيند. لازم به ذكر است كه دو هفته گذشته مشابه اين رخنه در گوشي هاي اپل كشف شده بود.

مطالب مرتبط:
كشف يك مشكل در گوشي هاي اپل

شماره: IRCNE2013031774
تاريخ:15/12/91

پس از كشف دو آسيب پذيري در جاوا كه به طور گسترده توسط هكرها مورد سوء استفاده قرار مي گيرد، شركت اوراكل به منظور برطرف نمودن اين مشكل يك اصلاحيه فوري را منتشر نمود.
شركت اوراكل در راهنمايي امنيتي خود آورده است كه اين آسيب پذيري ها ممكن است از راه دور و بدون احراز هويت مورد سوء استفاده قرار بگيرند، هم چنين ممكن است اين آسيب پذيري ها در شبكه بدون نياز به نام كاربري و رمز عبور مورد سوء استفاده قرار بگيرند. براي يك سوء استفاده موفقيت آميز مي بايست كاربر با استفاده از مرورگري كه داراي يك نسخه آسيب پذير از جاوا است، صفحه وب مخربي كه از اين آسيب پذيري ها سوء استفاده مي كند را مشاهده نمايد. سوء استفاده موفقيت آميز مي تواند بر روي دسترسي پذيري، تماميت و محرمانگي سيستم كاربر تاثير گذارد.
اخيرا هكرها دريافتند كه با استفاده از يكي از اين آسيب پذيري ها مي توانند به كامپيوتر كاربر دسترسي يابند و بدافزار McRAT را نصب نمايند. پس از نصب اين بدافزار، McRAT به سرور command control متصل شده و خود را در تمامي فايل هاي ويندوز كپي مي كند.
مدير امنيت نرم افزار شركت اوراكل اظهار داشت كه به منظور كمك به حفظ وضعيت امنيت تمام كاربران جاوا SE، اوراكل تصميم گرفت تا يك برطرف كننده براي اين آسيب پذيري منتشر نمايد و ساير شركت ها در اسرع وقت اين مشكل را برطرف خواهند كرد.
با توجه به شركت اوراكل، آسيب پذيري هاي اخير تنها در جاوا در حال اجرا در مرورگر وب قرار دارد و جاوا در حال اجرا بر روي سرورها، برنامه هاي مستقل جاوا يا جاوا تعبيه شده در برنامه هاي كاربردي را تحت تاثير قرار نمي دهد.
كاربران مي توانند نرم افزار هاي جاوا خود را با استفاده از وب سايت جاوا يا از طريق به روز رسان خودكار جاوا اعمال نمايند.

ID: IRCNE2013031775
Date: 2013-03-05

According to "zdnet", attackers are able to bypass the lock screen on the Samsung Galaxy Note II smartphone, a device that the Korean electronics giant is pitching to enterprise customers.
First discovered by self-confessed mobile enthusiast Terence Eden, he outlines the flaw that allows an attacker to bypass the device's pattern lock, PIN code, longer alphanumeric password, and even the face unlock security feature.
It's not clear if the flaw lies within Samsung's devices or the Android platform, or both. However, this flaw may not be limited to Samsung's Note II or Android 4.1.2, and users and IT managers alike should test their devices immediately.
From the lock screen, an attacker can hit the emergency contacts button. Then, by holding down the home button, the unlocked home screen is momentarily displayed.
Eden tested this on just one class of handset, the latest U.K. variant of Android 4.1.2 "Jelly Bean" running on two Samsung Galaxy Note II devices. One was rooted, and the other not. Both were running the stock launcher and lock screen.
He notes that changing to a different launcher or third-party lock screen "will not protect you if it accesses the emergency dialer."
While apps are automatically run in the background when the lock screen is bypassed, "there is also the privacy concern that an attacker could see what apps you have installed on your homescreen—or see your calendar/emails if you use a widget which displays them."
It comes only a couple of weeks after a similar flaw was discovered in the lock screen of Apple's iPhone, running the latest iOS 6.1 software.

ID: IRCNE2013031774
Date: 2013-03-05

According to "cnet", in response to discovering that hackers were actively exploiting two vulnerabilities in Java running in Web browsers, Oracle has released an emergency patch that it says should deal with the problem.
"These vulnerabilities may be remotely exploitable without authentication, i.e., they may be exploited over a network without the need for a username and password," Oracle wrote in a security alert today. "For an exploit to be successful, an unsuspecting user running an affected release in a browser must visit a malicious web page that leverages these vulnerabilities. Successful exploits can impact the availability, integrity, and confidentiality of the user's system."
Hackers were recently found using one of the vulnerabilities to get into users' computers and install McRAT malware. Once installed, McRAT works to contact command, control servers, and copy itself into all files in Windows systems.
"In order to help maintain the security posture of all Java SE users, Oracle decided to release a fix for this vulnerability and another closely related bug as soon as possible," Oracle software security assurance director Eric Maurice wrote in a blog post today.
According to Oracle, the most recent vulnerabilities are only applicable to Java running in Web browsers -- they don't affect Java running on servers, standalone Java desktop applications, or embedded Java applications. They also do not affect Oracle server-based software.
Users can install and update their Java software by going to the Java Web site or through the Java auto update.

شماره: IRCNE2013021773
تاريخ:09/12/91

روز گذشته، شركت ادوبی يك اصلاحيه امنيتي فوري كه سه آسيب پذيري در نرم افزار فلش را برطرف مي كند، منتشر نمود. در حال حاضر دو آسيب پذيري توسط هكرها مورد سوء استفاده قرار مي گيرد.
شركت ادوبی در يك بولتن امنيتي اعلام كرد كه اين اصلاحيه، حفره هايي را برطرف مي كند كه مي تواند منجر به از كار افتادن فلش شوند و به طور بالقوه به هكرها اجازه دهند تا كنترل سيستم آلوده را دراختيار بگيرند.
در راهنمايي امنيتي آمده است: شركت ادوبی از وجود اين آسيب پذيري ها اطلاع دارد. اين آسيب پذيري ها در حملات هدفمند مورد استفاده قرار مي گيرند و كاربر را فريب مي دهند تا بر روي لينكي كه به وب سايت حاوي محتوي مخرب متصل مي شود، كليك نمايد.
شركت ادوبی، اولويت يك را به اين آسيب پذير ها اختصاص داده است و به كاربران سيستم عامل هاي ويندزو و مكينتاش توصيه مي كند كه حداكثر تا 72 ساعت آينده اين اصلاحيه ها را اعمال نمايند. هم چنين اين شركت در بولتن امنيتي خود آورده است كه اين آسيب پذيري براي كاربران لينوكس در اولويت سه قرار دارد. لازم به ذكر است كه اولويت يك، بالاترين سطح در رده بندي امنيتي شركت ادوبی مي باشد.
شركت اوب به كاربران خود توصيه مي كند تا نرم افزار فلش را به آخرين نسخه به روز رساني نمايند:

• كاربران ادوبی فلش پلير نسخه 11.6.602.168 و نسخه هاي پيش از آن براي ويندوز و ادوبی فلش پلير نسخه 11.6.602.167 و نسخه هاي پيش از آن براي مكينتاش بايد به ادوبی فلش پلير نسخه 11.6.602.171 به روز رساني نمايند.
• كاربران ادوبی فلش پلير نسخه 11.2.202.270 و نسخه هاي پيش از آن براي لينوكس بايد به ادوبی فلش پلير نسخه 11.2.202.273 به روز رساني نمايند.
• فلش پلير نصب شده توسط گوگل كروم به طور خودكار به آخرين نسخه به روز رساني مي شود.
• فلش پلير نصب شده توسط IE 10 براي ويندوز 8 به طور خودكار به آخرين نسخه به روز رساني مي شود.

اين اصلاحيه، سومين به روز رساني اوب در اين ماه است و دومين به روز رساني فوري در كمتر از سه هفته مي باشد. در هشتم فوريه يك برطرف كننده براي برطرف كردن آسيب پذيري هايي منتشر شد كه تمامي نسخه هاي فلش بر روي سيستم عامل هاي ويندوز، لينوكس، مكينتاش و اندرويد را تحت تاثير قرار مي داد.

مطالب مرتبط:
اصلاحيه‌هاي Adobe براي Flash Player و Shockwave Player
انتشار اصلاحيه فوري و بسيار مهم فلش

ID: IRCNE2013021773
Date: 2013-02-27

According to "cnet", Adobe Systems released an emergency security update today that addresses a trio of vulnerabilities in Flash, two of which the company said were already being exploited by hackers.
Today's surprise update -- the company's third for the browser plug-in this month -- patches holes "that could cause a crash and potentially allow an attacker to take control of the affected system," Adobe said in a security bulletin.
"Adobe is aware of reports that CVE-2013-0643 and CVE-2013-0648 are being exploited in the wild in targeted attacks designed to trick the user into clicking a link which directs to a Web site serving malicious Flash content," the advisory stated, identifying the vulnerabilities by their Common Vulnerabilities & Exposures.
Adobe assigned a Priority 1 rating to the vulnerabilities being exploited on Windows and Mac OS X and advised users of both operating systems to install the update within 72 hours. That rating -- Adobe's highest threat level -- identifies "vulnerabilities being targeted, or which have a higher risk of being targeted, by exploit(s) in the wild." The bulletin also assigned a Flash vulnerability facing Linux users a Priority 3 rating, which refers to "a product that has historically not been a target for attackers."
Adobe recommends users update to the latest versions:

• Users of Adobe Flash Player 11.6.602.168 and earlier versions for Windows and Adobe Flash Player 11.6.602.167 and earlier versions for Macintosh should update to Adobe Flash Player 11.6.602.171.
• Users of Adobe Flash Player 11.2.202.270 and earlier versions for Linux should update to Adobe Flash Player 11.2.202.273.
• Flash Player installed with Google Chrome will automatically be updated to the latest Google Chrome version, which will include Adobe Flash Player 11.6.602.171 for Windows, Macintosh, and Linux.
• Flash Player installed with Internet Explorer 10 for Windows 8 will automatically be updated to the latest version of Internet Explorer 10, which will include Adobe Flash Player 11.6.602.171 for Windows.

The update is Adobe's third this month and its second emergency update in less than three weeks. A fix for two zero-day threats issued on February 8 addressed vulnerabilities that affected all versions of Flash on Windows, Mac, Linux, and Android.

Related Link:
Adobe releases patches for Flash Player and Shockwave Player
Flash under attack, emergency patch issued: Update immediately