شماره: IRCNE2012111662
تاريخ:14/08/91

موزيلا، يك ليست از پيش بارگزاري شده از دامنه ها را براي فايرفاكس معرفي كرده است. به منظور كمك به حفظ حريم خصوصي و امنيت كاربران تنها مي توان به روش امن به آن دامنه ها متصل شد.
David Keeler در يادداشتي نوشت كه براي الزام استفاده از ارتباط امن بين مرورگر و سرور، موزيلا از HSTS (امنيت انتقال سخت گيرانه HTTP) استفاده مي كند. HSTS مكانيزمي است كه توسط سرورها استفاده مي شود تا نشان دهد كه ارتباط مرورگر بايد به صورت امن شده باشد.
هنگاميكه مرورگري براي اولين مرتبه به يك سرور HSTS متصل مي شود، نمي داند كه بايد از ارتباط امن استفاده كند زيرا سرآيند HSTS را از ميزبان دريافت نكرده است. در نتيجه يك مهاجم فعال در شبكه مي تواند از اتصال امن مرورگر به سرور جلوگيري كند و كاربر ممكن است متوجه اين رخداد نشود. Keeler اشاره كرد كه استفاده از ارتباطاتي كه در حال حاضر استفاده مي شود ممكن است در برابر حملات، آسيب پذير باشند. در نتيجه به منظور رفع اين مشكل، موزيلا ليستي از دامنه هايي را به فايرفاكس اضافه كرده است كه مرورگر تنها مي تواند به روش امن شده به آن دامنه ها متصل گردد.
Keeler اظهار داشت: هنگامي كه يك كاربر براي اولين مرتبه به يكي از اين ميزبان ها متصل گردد، مرورگر مي داند كه بايد به صورت امن شده به آن ها متصل شود. اگر مهاجمي جلوي ارتباط امن كاربر به سرور را بگيرد، مرورگر به روش ناامن به سرور متصل نخواهد شد و بدين ترتيب امنيت كاربر حفظ مي شود.
استفاده از HSTS در تركيب با يك ليست از پيش بارگزاري شده از سايت ها مي تواند ابزار قدرتمندي براي افزايش امنيت كاربران باشد. در حال حاضر اين ويژگي تنها در فايرفاكس نسخه بتا وجود دارد.

ID: IRCNE2012111662
Date: 2012-11-04

According to "computerworld", Mozilla introduced a pre-loaded list of domains for Firefox that only can be connected to securely in order to help protect the privacy and security of users.
To force secure connections between the browser and a server, Mozilla uses HSTS (HTTP Strict Transport Security), a mechanism used by servers to indicate that the connecting browser must use a secure connection, wrote Mozilla's David Keeler in a blog post.
When the browser connects to an HSTS server for the first time though, the browser does not know if it should use a secure connection because it never received a HSTS header from that host. "Consequently, an active network attacker could prevent the browser from ever connecting securely (and even worse, the user may never realize something is amiss)", Keeler wrote, adding that setting up the connection that way still leaves it vulnerable to attacks.
As a workaround for that problem, Mozilla has added a list to Firefox with domains that the browser should only connect to securely by default.
"When a user connects to one of these hosts for the first time, the browser will know that it must use a secure connection. If a network attacker prevents secure connections to the server, the browser will not attempt to connect over an insecure protocol, thus maintaining the user's security," Keeler said.
"HSTS in combination with a preloaded list of sites can be a great tool for increasing the security of users," Keeler wrote. The feature is currently only present in Firefox Beta.

شماره: IRCNE2012101661
تاريخ:09/08/91

با توجه به گزارشي از Digital Bond، نرم افزار CoDeSys كه بر روي سيستم هاي كنترل صنعتي (ICS) بيش از 200 توليد كننده در حال اجراست، داراي يك آسيب پذيري مي باشد كه به طور بالقوه به مهاجمان اجازه مي دهد تا بدون نياز به احراز هويت، دستورات حساس را بر روي دستگاه هاي آسيب پذير اجرا نمايند. اين آسيب پذيري توسط Reid Wightman، محقق Digital Bond كشف شده است.
اين آسيب پذيري در زمان اجراي CoDeSys قرار دارد. زمان اجراي CoDeSys برنامه اي است كه بر روي دستگاه هاي كنترل كننده منطقي قابل برنامه ريزي (PLC) اجرا مي گردد. PLC ها، كامپيوترهاي ديجيتالي هستند كه فرآيندهاي الكترومكانيكي در نيروگاه هاي نفت و گاز، كارخانه ها و ساير مكان هاي صنعتي يا نظامي را مكانيزه و كنترل مي كنند.
زمان اجراي CoDeSys، به PLC ها اين امكان را مي دهد تا فايل هاي منطقي را كه به منظور توسعه بسته ابزار CoDeSys بر روي كامپيوتر معين ايجاد مي شوند، بارگزاري و اجرا نمايد. اين فايل ها حاوي دستوراتي مي باشند كه فرآيندهاي كنترل شده توسط PLC ها را تحت تاثير قرار مي دهد.
بنيانگذار و مدير عامل شركت Digital Bond اظهار داشت كه اين آسيب پذيري و اسكريپت ها تنها بر روي محصولات معدودي مورد آزمايش قرار گرفتند. بر روي PLC هاي آزمايش شده سيستم عامل هاي لينوكس با پردازنده x64 و Windows CE با پردازنده ARM در حال اجرا بوده است.
Ruben Santamarta، يك محقق امنيتي از شركت امنيتي IOActive گفت: اين حمله نه تنها براي كنترل كردن PLC ها مورد استفاده قرار مي گيرد بلكه از PLC ها به عنوان عاملي براي حمله به ديگر دستگاه هاي شبكه استفاده مي كند.
اين آسيب پذيري تنها توسط مهاجماني قابل سوء استفاده مي باشد كه در حال حاضر به شبكه اي كه زمان اجراي PLC در آن قرار دارد، دسترسي دارند. سيستم هاي زمان اجرا نبايد از حفاظت هاي اضافي Internetunless قابل دسترسي باشند.
Santamarta گفت: كاربراني كه محصولات آن ها تحت تاثير قرار دارد مي توانند راهكارهايي از قبيل تقسيم بندي شبكه، فهرست هاي كنترل دسترسي، ديوار آتش و سيستم هاي پيشگيري از نفوذ را پياده سازي نمايند.

شماره: IRCNE2012101660
تاريخ:09/08/91

روز جمعه، توسعه دهندگان نرم افزار محبوب سرور پست الكترونيكي Exim، به منظور برطرف كردن يك آسيب پذيري حياتي، يك به روز رساني فوري را منتشر كرده اند. اين آسيب پذيري مي تواند به مهاجمان اجازه دهد تا كدهاي مخرب را بر روي سيستم عامل سرور اجرا نمايند.
اين آسيب پذيري در كدي كه مسئول اجراي تاييد DKIM است قرار دارد.DKIM ويژگي است كه با نصب Exim به طور پيش فرض فعال مي شود.
Exim توسعه دهنده، Phil Pennock اظهار داشت:آسيب پذيري اصلاح شده يك سرريز بافر مبتني بر heap است و مي تواند توسط هر فردي كه از يك نام دامنه، پست الكترونيكي ارسال مي كند مورد سوء استفاده قرار بگيرد. او گفت: اين يك به روز رساني، امنيتي است و يك رخنه اجراي كد از راه دور بسيار حياتي را در Exim نسخه هاي بين 4.70 تا 4.80 را برطرف مي كند. اين رخنه در رده امنيتي "بسيار حياتي" قرار دارد و در بازبيني داخلي از كد مربوط به DKIM شناسايي شده است.
Exim يكي از معروف ترين سرويس هاي انتقال پست الكترونيكي است. اين نرم افزار به طور پيش فرض در Debian Linux و ساير لينوكس هاي مبتني بر Debian مانند Ubuntu نصب مي شود. هم چنين به طور معمول همراه با نرم افزارهاي معروف Mailman و سيستم عامل مديريت سرور ميزبان cPanel Web مورد استفاده قرار مي گيرد.
در حال حاضر بسياري از توليد كنندگان لينوكس بسته هاي به روز رساني Exim را از طريق منابع مربوطه منتشر كرده اند و به كاربران توصيه مي شود تا اين به روز رساني ها را اعمال نمايند.

شماره: IRCNE2012101659
تاريخ:09/08/91

آسيب پذيري هاي امنيتي فايرفاكس نسخه 16 در به روز رساني منتشر شده براي نرم افزار مرورگر توسط بنياد موزيلا، برطرف شد. در دو هفته گذشته اين دومين بار است كه مرورگر براي برطرف شدن مشكلات امنيتي به روز رساني مي شود.
تمامي مسائل امنيتي، مربوط به شيء "Location" در نرم افزار مي باشد. يكي از رخنه ها هنگامي كه با پلاگين ها تركيب مي شود، مي تواند براي اجراي حملات اسكريپت بين سايتي مورد سوء استفاده قرار بگيرد. معمولا اين حملات براي آلوده كردن برنامه هاي وب در وب سايت هاي معتبر و قابل اعتماد استفاده مي شوند و كدهاي مخربي را به بازديدكنندگان اين وب سايت ها تزريق مي كنند.
آسيب پذيري ديگر شامل تابع CheckURL در كد مرورگر مي شود كه مي تواند باعث شود تا مقدار اشتباهي برگردانده شود. اين مساله مي تواند براي اجراي حملات اسكريپت بين سايتي مورد سوء استفاده قرار بگيرد يا باعث شود تا كد دلخواهي در يك افزونه مروگر كه با محتوي صفحه در ارتباط است، اجرا گردد. هم چنين موزيلا Thunderbird را براي برطرف كردن رخنه هايي مشابه، به روز رساني كرده است.
هنگامي كه فايرفاكس نسخه 16 در نهم اكتبر منتشر شد، 14 آسيب پذيري مشخص شده در راهنمايي امنيتي را برطرف كرد كه 11 آسيب پذيري آن "حياتي" بودند. 24 ساعت پس از انتشار اين به روز رساني، موزيلا دانلود نرم افزار را به دليل نگراني هاي امنيتي غيرفعال ساخت. براي برطرف كردن اين نگراني ها، موزيلا نسخه 16.0.1 مرورگر خود را منتشر كرد. اين به روز رساني حفره اي را برطرف ساخته است كه به وب سايت هاي مخرب اجازه مي داد تا تاريخچه مرورگر بازديدكنندگان آن وب سايت ها را بخواند.

مطالب مرتبط:
نقص امنيتي در Firefox 16

ID: IRCNE2012101661
Date: 2012-10-30

According to "techworld", CoDeSys, a piece of software running on industrial control systems (ICS) from over 200 vendors contains a vulnerability that allows potential attackers to execute sensitive commands on the vulnerable devices without the need for authentication, according to a report from security consultancy Digital Bond.
The vulnerability was discovered by former Digital Bond researcher Reid Wightman as part of Project Basecamp, an ICS security research initiative launched by Digital Bond last year.
The vulnerability is located in the CoDeSys runtime, an application that runs on programmable logic controller (PLC) devices. PLCs are digital computers that control and automate electromechanical processes in power plants, oil and gas refineries, factories and other industrial or military facilities.
The CoDeSys runtime allows PLCs to load and execute so-called ladder logic files that were created using the CoDeSys development toolkit on a regular computer. These files contain instructions that affect the processes controlled by the PLCs.
The vulnerability and scripts were tested on only a handful of products from the 261 potentially affected vendors, Digital Bond founder and CEO Dale Peterson said Thursday in a blog post. One of those PLCs was running Linux on an x86 processor while another was running Windows CE on an ARM processor.
"This attack can be used not only to control the PLC but also to turn the PLC into an 'agent' to attack other devices in the network," Ruben Santamarta, a security researcher from security firm IOActive, said Friday via email.
The vulnerability is only exploitable by an attacker who already has access to the network where the PLC runtime operates, Schwellinger said. Runtime systems should not be accessible from the Internetunless additional protection is in place, he said.
Meanwhile, users of the affected products can implement network segmentation, access control lists, firewalls and intrusion prevention systems, Santamarta said.

ID: IRCNE2012101660
Date: 2012-10-30

According to "techworld", developers of the popular Exim email server software released an emergency update on Friday to address a critical vulnerability that could allow attackers to execute malicious code on the underlying operating system.
The vulnerability was located in the code responsible for performing DomainKeys Identified Mail (DKIM) verifications, a feature enabled by default in Exim installations.
The patched vulnerability is a heap-based buffer overflow and can be exploited by anyone who can send email from a domain name for which they control the DNS (Domain Name System) records, Exim developer Phil Pennock said Friday in an email announcing the release of Exim 4.80.1.
"This is a SECURITY release, addressing a CRITICAL remote code execution flaw in versions of Exim between 4.70 and 4.80 inclusive, when built with DKIM support," Pennock said.
The vulnerability is rated as critical and was identified during an internal review of the DKIM-related code in Exim.
The code review was prompted by two DKIM implementation issues that were disclosed last week and affected multiple email providers including Google, Microsoft and Yahoo.
Exim is one of the most popular mail transfer agents. It is installed by default in Debian Linux and other Debian-based Linux distributions like Ubuntu. It is also commonly used together with the popular Mailman mailing list software and the cPanel Web hosting server administration platform.
Most Linux vendors have already released updated Exim packages through their respective repositories, so users are encouraged to install them.

ID: IRCNE2012101659
Date: 2012-10-30

According to "techworld", Firefox 16 security vulnerabilities are being addressed in an update of the browser software released by the Mozilla Foundation. This is the second time in the last two weeks that the browser has had to be updated to address security problems.
All the security issues are related to the "Location" object in the software. One of the flaws, when combined with some plug-ins, could be exploited to perform cross-site scripting attacks on users. Those attacks typically are used to infect web applications at trusted websites and push malicious code to unsuspecting visitors of those sites.
Another vulnerability involves the CheckURL function in the browser's code, which could be forced to return a wrong value. Mozilla said this could be exploited in a cross-site scripting attack, or be used to execute arbitrary code to a browser add-on that interacts with the content on a page.
A third defect addressed by the update allowed the security wrapper on the Location object to be bypassed by a hacker.
Mozilla also pushed out an update of its Thunderbird email client to address to fix similar flaws in that program. It explained that the Location vulnerabilities addressed by the new release would have less impact on Thunderbird because it uses those functions only through RSS feeds and extensions that load web content.
When Firefox 16 was released on October 9, it addressed vulnerabilities outlined in 14 security advisories, 11 of them "critical". Within 24 hours of that release, Mozilla halted downloads of the software because of security concerns. To address those concerns, Mozilla released version 16.0.1 of its browser. That release plugged the hole that allowed malicious websites to read the browsing history of visitors to those sites.

Related Link:
Mozilla rereleases Firefox 16 after fixing critical flaw

شماره: IRCNE2012101658
تاريخ:08/08/91

Splashdata، توسعه دهنده نرم افزار هاي امنيتي،فهرست سالانه خود را از رايج ترين رمزهاي عبور منتشر كرده است. يكبار ديگر، رمزهاي عبور"password" ،"123456" و "12345678" محبوب ترين رمزهاي عبور به حساب مي آيند.
فهرست رايج ترين رمزهاي عبور مبتني بر فايل dump از هكرهاي آنلاين مي باشد. Splashdata اشاره كرد كه سال 2012 چندين رخنه امنيتي سطح بالا را شاهد بوديم. اين شركت اظهار داشت كه انتشار فهرست سالانه به منظور بالا بردن سطح آگاهي كاربران از رمزهاي عبور ضعيف مي باشد.
به علاوه رمز هاي عبور "abc123'" و "qwerty" جزء متداولترين رمزهاي عبور مي باشند. در اين فهرست برخي از رمزهاي عبور از قبيل "monkey"، "baseball" و "shadow" بسيار عجيب بودند. هم چنين تعدادي از آن ها جديد و غيرمنتظره هستند از جمله: "jesus"، "ninja" و "mustang".
در زير ليست كامل رمزهاي عبور گذشته آمده است:

1. password
2. 123456
3. 12345678
4. abc123
5. qwerty
6. monkey
7. letmein
8. dragon
9. 111111
10. baseball
11. iloveyou
12. trustno1
13. 1234567
14. sunshine
15. master
16. 123123
17. welcome
18. shadow
19. ashley
20. football
21. jesus
22. michael
23. ninja
24. mustang
25. password1

ما شديدا توصيه مي كنيم كه از رمزهاي عبور قوي شامل حروف، اعداد و سمبول ها استفاده نماييد. مي توانيد از عبارات كوتاه نيز كه يادآوري آن ها آسان تر است نيز استفاده كنيد. هم چنين سعي كنيد از رمزهاي عبور مشابه براي حساب هاي كاربري متفاوت استفاده نكنيد به ويژه براي حساب هاي بانكي و پست الكترونيكي.
اگر رعايت نكات فوق دشوار است مي توانيد از نرم افزارهايي مانند LastPass، 1Password، Roboform، eWallet، SplashID يا KeePass استفاده نماييد. هم چنين مي توانيد احراز هويت دو مرحله اي گوگل و فيس بوك را تنظيم كنيد.

شماره: IRCNE2012101657
تاريخ:08/08/91

هفته گذشته كشف مشكل 'Lance Armstrong' در فايل سيستم لينوكس ext4 باعث نگراني كاربران شد. اما Theodore Ts'o، مدير پروژه اظهار داشت: به احتمال زياد اين مشكل تعداد كمي از كاربران را تحت تاثير قرار مي دهد.
به نظر مي رسد كه اين مشكل باعث مي شود تا به طور بالقوه داده هاي مهم در فايل سيستم لينوكس تخريب شود. اين مشكل هسته لينوكس نسخه هاي 3.6.2 و 3.6.3 را تهديد مي كند.
Ts'o اين مشكل را با عنوان 'Lance Armstrong' نام مي برد و در يادداشتي در گوگل پلاست نوشته است كه اين مشكل سيستم هاي هشدار دهده خاصي را تحت تاثير قرار نمي دهد، با اين وجود باعث رفتارهاي غيرعادي مي شود. به طور خاص اين مساله ممكن است كاربراني كه به روش هاي نامعمول سيستم خود را خاموش مي كنند، تحت تاثير قرار دهد. او هم چنين اشاره مي كند كه ما به طور جدي براي رفع اين مشكل تلاش مي كنيم.