ID: IRCNE2012011386
Date: 2012-01-28

According to "zdnet", If you haven’t gotten around to patching that Windows Media Player vulnerability fixed in the last Microsoft Patch Tuesday batch, you might want to immediately fire up Windows Update.
Just a few weeks after Microsoft shipped MS12-004, a “critical” bulletin with fixes for two serious flaws in the way Windows Media handles certain media files, hackers have pounced and are exploiting this issue to plant malware on unpatched computers.
According to a warning from Trend Micro, the in-the-wild attacks are being launched via web sites rigged with booby-trapped Windows media files.
Trend Micro said the infection vector is a malicious HTML which exploits the vulnerability by using two components that are also hosted on the same domain. The two files are: a MIDI file and a JavaScript, the company said.
The end result is a malicious Trojan with rootkit capabilities. The attack happens silently in the background and all the user sees is a blank WMP application playing a file.
This particular threat doesn’t appear to be widespread at the moment but it’s very likely that this bug could be fitted into popular exploit kits so it’s important to apply this patch as soon as possible.

Related Link:
The first Patch Tuesday in 2012

ID: IRCNE2012011385
Date: 2012-01-28

According to "cnet", The latest update to McAfee Mobile Security opens a window onto app permissions and gives you a filter to screen out annoying communiques.
McAfee Mobile Security 2.0 arrived in the Android Market three days ago, and brings two new features to its already-robust set of options for Android, BlackBerry, and Symbian users. The new App Protection interprets how apps handle your personal and private data, and tells you whether those app permissions are risky. The BlackBerry and Symbian versions will be available soon, according to McAfee.
There's also a new call and text-messaging filter that blocks calls and texts, based on a basic blacklist. Features that have carried over from the previous version include antivirus scanning; anti-spyware and anti-phishing guards; Potentially Unwanted Program protection for preventing commercial spyware, adware, and link scanning courtesy of the McAfee SiteAdvisor engine.
There's also anti-theft guards such as remote device lock, wipe, backup, and restore for securing a lost phone; unauthorized SIM replacement notification; phone locate and tracking; and an online management Web site that allows for full interaction with the McAfee interaction.

شماره: IRCNE2012011384
تاريخ: 5/11/90

توليد كنندگان لينوكس قصد دارند هرچه سريع­تر يك آسيب پذيري افزايش حق دسترسي را در هسته لينوكس اصلاح نمايند كه مي­تواند توسط مهاجمان محلي براي دسترسي به root سيستم مورد سوء استفاده قرار گيرد.
اين آسيب پذيري كه با عنوان CVE-2012-0056 شناخته مي­شود، به علت عدم محدود سازي مناسب دسترسي به فايل /proc//mem توسط هسته لينوكس ايجاد شده است.
به گفته متخصص ارشد امنيت شركت امنيتي Secunia، اين نقص امنيتي در كد هسته لينوكس در مارس 2011 شناسايي شده است و نسخه هاي 2.6.39 و بالاتر از آن را تحت تاثير قرار مي­دهد. به گفته وي، هريك از لينوكس­هاي عرضه شده كه اين نسخه هاي هسته را ارائه دهند، بايد آسيب پذير باشند.
لينوس توروالدز يك اصلاحيه در تاريخ 17 ژانويه پيشنهاد كرد، اما پيش از آنكه توليد كنندگان لينوكس فرصت پيدا كنند آن را براي محصولات خود اعمال نمايند، كد سوء استفاده كننده از آن به صورت آنلاين عرضه شد.
Ubuntu و Red Hat اصلاحيه هايي را براي پوشش دادن اين آسيب پذيري عرضه كرده اند و انتظار مي­رود كه ساير توليد كنندگان نيز هرچه سريع­تر همين كار را انجام دهند.

شماره: IRCNE2012011383
تاريخ: 5/11/90

روز دوشنبه گوگل چهار آسيب پذيري را در مرورگر Chrome اصلاح كرد و افشا كرد كه يك آسيب پذيري ديگر را نيز دو هفته پيش اصلاح كرده است. به روز رساني Chrome 16، دومين به روز رساني امنيتي اين مرورگر در ماه ميلادي جاري است.
يكي از پنج نقص امنيتي ترميم شده توسط گوگل، در حقيقت باقي مانده يك به روز رساني در نهم ژانويه است. به گفته يكي از مديران برنامه Chrome، اين نقص امنيتي در حقيقت دو هفته پيش اصلاح شده بود، ولي يادداشت­هاي مربوط به عرضه اين به روز رساني سهوا منتشر نشده بود.
اين آسيب پذيري، جدي­ترين آسيب پذيري در ميان اين مجموعه است كه در رده امنيتي «بسيار بسيار خطرناك» قرار گرفته است. اين نقص امنيتي خطرناك باعث مي­شود كه زماني كه كاربر هشدار مرورگر در مورد يك سايت خرابكار را مشاهده مي­كند، مرورگر از كار افتاده و صفحه مجددا بارگذاري گردد. اين آسيب پذيري در اواسط دسامبر 2011 توسط يك محقق امنيتي گزارش شده بود.
سه آسيب پذيري ديگر اين مجموعه نيز كه در رده امنيتي «خطرناك» قرار دارند، توسط دو محقق امنيتي ديگر گزارش شده اند.
مرورگر Chrome ماه گذشته 19.1% از بازار مرورگرها را در اختيار گرفته بود كه ركوردي براي گوگل محسوب مي­شود. نسخه پايدار Chrome 16 از وب سايت گوگل قابل دريافت است.

ID: IRCNE2012011384
Date: 2012-01-25

According to “ComputerWorld”, Linux vendors are rushing to patch a privilege escalation vulnerability in the Linux kernel that can be exploited by local attackers to gain root access on the system.
The vulnerability, which is identified as CVE-2012-0056, is caused by a failure of the Linux kernel to properly restrict access to the "/proc//mem" file.
According to Carsten Eiram, the chief security specialist at vulnerability research firm Secunia, the flaw was introduced in the Linux kernel code in March 2011 and affects versions 2.6.39 and above. "Any Linux distributions providing these kernel versions should be vulnerable," Eiram said.
Linus Torvalds submitted a patch on the official Linux kernel repository on Jan. 17, but before Linux vendors had a chance to apply it for their distributions, proof-of-concept exploit code already appeared online.
Ubuntu and Red Hat have already released patches to address this vulnerability and other vendors are expected to follow in their footsteps soon. "We recommend that system administrators apply these patches," Eiram said.

ID: IRCNE2012011383
Date: 2012-01-25

According to “Computerworld” Google on Monday patched four vulnerabilities in Chrome, and disclosed that it had patched a fifth two weeks ago. The refresh of Chrome 16 was the second security-related update for the browser this month.
One of the five bugs Google said had been quashed was actually a leftover from the Jan. 9 update. According to a blog post by Anthony Laforge, a Chrome program manager, that flaw was actually patched two weeks ago, but "[was] accidentally excluded from the release notes" at the time.
The vulnerability was the most serious of the five, rating a "critical" ranking, Google's top threat label.
The critical bug caused the browser to crash when users saw Chrome's anti-malicious site warning and then refreshed the page. Researcher Chamal de Silva reported the vulnerability in mid-December 2011.
Three of the remaining vulnerabilities which were rated as "high" threats, were reported by two other researchers.
Chrome accounted for 19.1% of all browsers used last month, a record for Google, according to Web metrics firm Net Application. Chrome 16, the current stable edition, can be downloaded from Google's website.

شماره: IRCNE2012011382
تاريخ: 01/11/90

گوگل بي سر و صدا يك مكانيسم لاگين جديد را براي كاربراني كه از كامپيوترهاي عمومي استفاده مي نمايند مورد آزمايش قرار داد. در اين مكانيسم احراز هويت از طريق كدهاي QR اسكن شده بوسيله دستگاه هاي تلفن همراه انجام مي گيرد.
احراز هويت مبتني بر تلفن يك نوعي از طرح تاييد شده دو مرحله اي جي ميل است. ويژگيCodenamed Sesame روي كامپيوتر كاربراني كه به جي ميل يا هر حساب كاربري ديگري از گوگل بر روي كامپيوترهاي عمومي در كتابخانه ها يا كافي شاپ ها لاگين مي كنند نصب مي شود و كاربران را از خطراتي مانند جاسوس افزارها و ثبت كنندگان ضربات صفحه كليد كه بر روي كامپيوترهاي عمومي ممكن است وجود داشته باشند، محافظت مي نمايند.
اين ويژگي به كاربران اجازه مي دهد تا يك كد QR را از يك صفحه وب مخصوص گوگل اسكن نمايند. كد QR يك صفحه وب بر روي تلفن كاربر لود مي كند و به محض آن كه آدرس URL لود مي شود، مرورگر صفحه نمايش به طور خودكار به لاگين حساب گوگل كاربر بدون نياز به رمز عبور هدايت مي شود.

شماره: IRCNE2012011381
تاريخ: 01/11/90

پروژه OpenSSL نسخه هاي جديدي از كتابخانه مشهور OpenSSL را به منظور برطرف كردن آسيب پذيري انكار سرويس (DoS) منتشر كرد. اين آسيب پذيري در اصلاحيه بسيار مهم منتشر شده در ششم ژانويه معرفي شد.
توسعه دهندگان OpenSSL در يك راهنمايي امنيتي كه به تازگي منتشر شد هشدار دادند:" يك نقص كه در آسيب پذيري CVE-2011-4108 توضيح داده شد، مي تواند براي حملات انكار سرويس مورد سوء استفاده قرار بگيرد."
اين مساله در OpenSSL نسخه هاي g1.0.0 و t0.9.8 كه روز چهارشنبه منتشر شد، برطرف گرديد.
CVE-2011-4108 به يك آسيب پذيري بسيار مهم در پياده سازي OpenSSL از پروتكل DTLS اشاره مي كند. اين آسيب پذيري به مهاجمان اجازه مي دهد تا ارتباطات امن شده را بدون دانستن كليد رمزگذاري، رمزگشايي نمايند.
به كاربراني كه به منظور حفاظت برنامه كاربردي DTLS خود در برابر آسيب پذيري CVE-2011-4108هنوز OpenSSL خود را به نسخه f 1.0.0 يا s 0.9.8 ارتقاء نداده اند، توصيه مي شود كه OpenSSL خود را به طور مستقيم به نسخه g 1.0.0 يا t 0.9.8 كه تازه منتشر شده اند، ارتقاء دهند.
OpenSSL براي طيف گسترده اي از پلت فرم ها از جمله لينوكس، سولاري، مكينتاش، ويندوز، BSD و OpenVMS در دسترس است و برخي از اين سيستم عامل ها به طور پيش فرض OpenSSL را دارند و به روز رساني OpenSSL را از طريق كانال هاي خود اعمال مي نمايند.

ID: IRCNE2012011382
Date: 2012-01-21

According to "zdnet", Google has quietly tested a new login mechanism for users on public computers — authentication via QR codes scanned by mobile devices.
The phone-based authentication is a variation of the GMail two-step verification scheme.
Codenamed Sesame, the feature is aimed on computer users logging into GMail or other Google accounts on public computers in libraries or coffee shops because of the high risk of spyware/keyloggers on thos machines.
It lets users scan a QR code from a special Google Web page. The QR code will return a Web page on the user’s phone and once that URL is tapped, the desktop browser will automagically redirect to the users’s logged-in Google Account without requiring a password.

ID: IRCNE2012011381
Date: 2012-01-21

According to "computerworld", The OpenSSL Project has released new versions of the popular OpenSSL library in order to address a denial-of-service (DoS) vulnerability that was introduced by a critical patch issued on Jan. 6.
"A flaw in the fix to CVE-2011-4108 can be exploited in a denial of service attack," the OpenSSL developers warned in a newly published advisory. The issue has been addressed in the new OpenSSL 1.0.0g and 0.9.8t versions released on Wednesday.
CVE-2011-4108 refers to a serious vulnerability in OpenSSL's implementation of the DTLS (Datagram Transport Layer Security) protocol, which allows attackers to decrypt secured communications without knowing the encryption key.
Users who have not yet upgraded to OpenSSL 1.0.0f or 0.9.8s in order to protect their DTLS applications against CVE-2011-4108, are advised to upgrade directly to the newly released OpenSSL 1.0.0g or 0.9.8t.
OpenSSL is available for a wide variety of platforms, including Linux, Solaris, Mac OS X, BSD, Windows and OpenVMS. Some of these operating systems include OpenSSL by default and deliver updates for it through their own channels.