شماره: IRCNE2011071198
تاريخ: 8/5/90

مايكروسافت يك نسخه به روز رساني براي Communicator براي Mac عرضه كرده است كه با سيستم عامل جديد Mac يعني Lion كار مي­كند.
يكي از مديران محصولات مايكروسافت اظهار داشت كه Communicator for Mac 2011 نسخه 13.1.2 روز پنجشنبه در سايت دانلود مايكروسافت قرار گرفته است و به زودي از طريق سرويس به روز رساني اين شركت در اختيار كاربران قرار خواهد گرفت.
اين نسخه جديد از Communicator نقصي را برطرف مي­كند كه باعث مي­شد زماني كه كاربران قصد داشتند اين برنامه را در سيستم عامل جديد Apple يعني Mac OS X 10.7 كه در بيستم جولاي عرضه شده بود اجرا نمايند، دچار مشكل شوند.
Communicator نسخه شركتي كلاينت مسنجر رده مصرف كننده مايكروسافت براي Mac است و فقط در اختيار مشتريان تجاري و آكادميك قرار دارد. اين برنامه همچنين نرم افزاري است كه كاربران Mac را به نرم افزار سرور ارتباطات شركتي مايكروسافت يعني Lync 2010 متصل مي­كند.
هفته گذشته گروه توسعه Microsoft Office براي Mac مشكلات متعددي را در ويرايش­هاي 2011 و 2008 اين مجموعه در هنگام اجرا بر روي Lion گزارش كردند.
يكي از مديران ارشد توسعه محصولات مايكروسافت ضمن اطلاع رساني در مورد در دسترس بودن Communicator 13.1.2، تاكيد كرد كه Office for Mac 2004 بر روي اين نسخه Mac كار نكرده و هرگز نيز كار نخواهد كرد، چرا كه اين مجموعه براي PowerPC CPU نوشته شده است. به گفته وي، كاربران بايد منتظر باشند تا مايكروسافت ويژگي­هاي جديد Lion مانند ذخيره خودكار و مود تمام صفحه را در Office for Mac 2011 پشتيباني نمايد.
Communicator 13.1.2 از وب سايت مايكروسافت قابل دريافت است.

شماره: IRCNE2011071197
تاريخ: 8/5/90

فيس بوك در مبارزه با حملات هكرهاي خرابكار، به فهرست شركت­هايي پيوسته است كه در مقابل گزارش كردن آسيب پذيري­هاي امنيتي اين وب سايت، به هكر پيدا كننده اين آسيب پذيري جايزه اي پرداخت مي­نمايند.
فيس بوك با اين برنامه امنيتي جديد، قصد دارد 500 دلار براي آن دسته از نقايص امنيتي كه مي­توانند منجر به از بين رفتن تماميت و يا محرمانگي داده هاي كاربران اين شركت شوند پرداخت نمايد.
آسيب پذيري­هاي زير در اين برنامه مورد توجه قرار مي­گيرند:

• جعل درخواست بين سايتي (CSRF/XSRF)
• اسكريپت­هاي بين سايتي (XSS)
• تزريق كد از راه دور

كاربران فيس بوك توسط گروه گسترده اي از حملات خرابكارانه سرقت كليك و سرقت لايك، اسكريپت­هاي بين سايتي، CSRF و و حملاتي كه ساير آسيب پذيري­هاي برنامه هاي وب را مورد سوء استفاده قرار مي­دهند هدف قرار گرفته اند و اين شركت اميدوار است اين برنامه پرداخت پول به ازاي كشف آسيب پذيري­ها، كيفيت كد اين سايت را بهبود بخشد.
فردي كه چنين آسيب پذيري­هايي را كشف مي­كند بايد با سياست افشاي مسئولانه اين شركت موافقت داشته و زمان كافي براي پاسخگويي به اين آسيب پذيري­ها را پيش از افشاي هرگونه اطلاعاتي درباره آن، در اختيار اين شركت قرار دهد.
فيس بوك همچنين به محققان امنيتي اجازه مي­دهد حساب­هاي كاربري تستي بر روي اين وب سايت ايجاد نمايند تا اطمينان حاصل نمايد كه به ساير كاربران ضربه نمي­زنند و نيز از قوانين كاربران پيروي مي­نمايند.
اين شركت تاكيد كرده است كه مبلغ پرداخت شده ممكن است براي برخي آسيب پذيري­هاي خاص و بسيار مهم افزايش يابد.
نقايص امنيتي زير در مجموعه نقايص امنيتي داراي جايزه قرار نمي­گيرند:

• نقايص امنيتي در برنامه هاي متفرقه
• نقايص امنيتي در وب سايت­هاي متفرقه اي كه با فيس بوك مجتمع مي­شوند
• نقايص امنيتي در ساختار حقوقي فيس بوك
• آسيب پذيري­هاي انكار سرويس
• هرزنامه يا تكنيك­هاي مهندسي اجتماعي

شركت­هاي موزيلا، گوگل و Barracuda از جمله شركت­هايي هستند كه در مقابل كشف حفره هاي امنيتي در محصولات نرم افزاري و وب سايت­هاي خود، مبلغي را به عنوان جايزه پرداخت مي­كنند.

ID: IRCNE2011071199
Date: 2011-07-30

According to “ZDNET” and “ComputerWorldUK”, security researchers from Armorize have intercepted a currently live mass iFrame injection attack, affecting about 100,000 Web pages for e-commerce sites based on the open source OS Commerce software. The ongoing mass-injection attacks appear to be carried out from Ukraine against the e-commerce sites.
Once the users visits an affected page, a number of javascript redirectors lead the user to a client-side exploits serving page.
The attackers "may be leveraging a known vulnerability" in the open-source software, says a chief technology officer at Armorize. He notes that OS Commerce open source is a popular foundation for an e-commerce site which is then given a different "look and feel" through various templates that are typically sold.
Malicious attackers are either abusing input validation flaws within the vulnerable sites, or have been harvesting botnets for stolen FTP credentials in order to embed the pages with the malicious iFrame.

ID: IRCNE2011071198
Date: 2011-07-30

“Computerworld” reports that Microsoft has released an updated version of Communicator for the Mac that works with Apple's new Lion operating system.
Communicator for Mac 2011 version 13.1.2 was released Thursday to Microsoft's download site, and will be pushed to users via the company's update service shortly, a Microsoft product director promised.
The new version of Communicator resolves the crash bug that afflicted the program when users tried to run it on Mac OS X 10.7, the new operating system Apple launched July 20.
Communicator is the corporate version of Microsoft's consumer-grade Messenger chat client for the Mac, and is available only to business and academic volume licensing customers. It is also the software that connects Mac users to Microsoft's enterprise communications server software, Lync 2010.
Last week, Microsoft's Office for Mac development team reported several problems with the 2011 and 2008 editions of the suite when run on Lion.
In a blog published Thursday, Fox announced the availability of Communicator 13.1.2 and reiterated that Office for Mac 2004 does not work, nor never will, on Lion because the suite was written for the PowerPC CPU. Fox also told customers that they'll have to wait for Microsoft to support new Lion features -- such as auto save, document versioning and a full-screen mode - in Office for Mac 2011.
Communicator 13.1.2 can be downloaded from Microsoft's website.

ID: IRCNE2011071197
Date: 2011-07-30

"ZDNet" reports that as facebook struggles to cope with a surge in malicious hacker attacks against its massive user base, it has joined a growing list of companies offering cash to hackers who responsibly report security vulnerabilities found on its web site.
With the new Security Bug Bounty program, Facebook plans to shell out $500 for security bugs “that could compromise the integrity or privacy of Facebook user data.”
The following types of vulnerabilities could qualify for the bounty:
· Cross-Site Request Forgery (CSRF/XSRF)
· Cross-Site Scripting (XSS)
· Remote Code Injection
Facebook users are inundated with malicious attacks that exploit clickjacking/likejacking, cross-site scripting, CSRF and other Web-app vulnerabilities and the company hopes the new bug bounty program will help improve the quality of its code.
To qualify for a Facebook cash reward, security researches must adhere to the company’s Responsible Disclosure Policy and agree to give Facebook ”reasonable time to respond” before making any information public.
According to "CNET", meanwhile, Facebook is allowing security researchers a way to create test accounts on Facebook to ensure they don't violate terms of use or impact other Facebook users.
Although a typical bounty is set at $500, Facebook says it may increase the reward for specific, high-impact vulnerabilities.
The following bugs aren’t eligible for a bounty:

• Security bugs in third-party applications (e.g., http://apps.facebook.com/[app_name])
• Security bugs in third-party websites that integrate with Facebook
• Security bugs in Facebook’s corporate infrastructure
• Denial of Service Vulnerabilities
• Spam or Social Engineering techniques

Mozilla, Google and Barracuda Networks are among companies offering cash rewards for security holes in software products and Web sites.

شماره: IRCNE2011071196
تاريخ: 4/5/90

يك محقق امنيتي برجسته به نام ميلر معتقد است كه هك كردن باتري­هاي Apple MacBook امكان پذير است.
اين محقق ماه آينده در كنفرانس Black Hat در لاس وگاس توضيح خواهد داد كه چگونه مي­توان با در اختيار گرفتن كنترل كننده داخلي اين باتري، آن را مورد سوء استفاده قرار داد. اين كنترل كننده كه تراشه اي است كه مسئوليت شارژ كردن باتري را بر عهده دارد، در تعداد زيادي از لپ تاپ­هاي MacBook، MacBook Pro و MacBook Air تعبيه شده است.
اين محقق امنيتي كه مشاور ارشد امنيتي در آزمايشگاه­هاي Accuvant است توضيح داده است كه در اين كنفرانس نشان خواهد داد كه كنترل كننده داخلي اين باتري چگونه كار مي­كند. وي تاكيد كرده است كه نحوه برنامه ريزي مجدد اين باتري هوشمند را با استفاده از سفت افزار موجود بر روي آن نشان خواهد داد. به گفته اين محقق امنيتي، وي يك واسط كاربري ساده را ارائه خواهد كرد كه براي خواندن مقادير از باتري هوشمند و نيز برنامه ريزي مجدد سفت افزار آن به كار مي­رود. به گفته وي، هكرهايي كه داراي قابليت كنترل يك باتري هوشمند باشند مي­توانند مشكلاتي مانند شارژ بيش از حد يا آتش سوزي در اين باتري ايجاد نمايند.
به گزارش Kaspersky، براي هك كردن اين سخت افزار، ابتدا نياز به شكستن يك كلمه عبور چهار بايتي براي خارج كردن باتري از مود sealed است. سپس نياز به كلمه عبور ديگري براي دسترسي به كنترل كامل باتري است.
به گفته ميلر شما مي­توانيد تمامي داده هاي سفت افزار باتري را خوانده، كد را تغيير داده، و هرچه مي­خواهيد انجام دهيد. اين تغييرات كدها مي­تواند باعث نصب مجدد سيستم عامل گردد، بنابراين شما مي­توانيد بدافزاري را تصور كنيد كه مي­تواند بر روي چيپ در باتري پنهان گردد. همچنين مهاجم نياز به يك آسيب پذيري در سيستم عامل يا جاي ديگري دارد تا بتواند باتري را هدف حمله قرار دهد.
البته ميلر هنوز نتوانسته است باعث انفجار يا آتش سوزي باتري شود. وي در كنفرانس Black Hat اقدام به ارائه ابزاري براي تغيير كلمات عبور پيش فرض موجود بر روي تراشه باتري خواهد كرد، به اين ترتيب عمليات هك ديگر موفقيت آميز نخواهد بود و لپ تاپ براي هميشه در مود sealed قفل خواهد شد.

ID: IRCNE2011071196
Date: 2011-07-26

It is possible to hack Apple MacBook batteries, with the potential to set them on fire, notable security researcher Charlie Miller believes.
Miller will talk about how to compromise an Apple battery by taking over its “embedded controller” at the Black Hat conference in Las Vegas next month. That controller – the chip responsible for charging the battery - is used in a large number of MacBook, MacBook Pro and MacBook Air laptops.
“I will demonstrate how the embedded controller works. I will reverse engineer the firmware and the firmware flashing process for a particular smart battery controller,” explained Miller, who currently works as Accuvant Labs' principal research consultant. “In particular, I will show how to completely reprogram the smart battery by modifying the firmware on it. Also, I will show how to disable the firmware checksum so you can make changes. I present a simple API that can be used to read values from the smart battery as well as reprogram the firmware.” He said hackers with the ability to control a working smart battery could cause safety issues, such as overcharging or fire.
To hack the hardware, Miller found he first needed to crack a four-byte password needed to unlock the battery from “sealed mode,” Kaspersky’s Threat Post reported. He then had to find another password to gain full control of the battery.
“You can read all the firmware, make changes to the code, do whatever you want. And those code changes will survive a reinstall of the OS, so you could imagine writing malware that could hide on the chip on the battery,” Miller said.
“You'd need a vulnerability in the OS or something that the battery could then attack, though.”
Despite his best intentions, Miller was unable to make the battery explode or set on fire. He will release a tool at the Black Hat conference to change default passwords on the battery’s chip so the hacks will no longer work and the device will be permanently locked in sealed mode.

شماره: IRCNE2011071195
تاريخ:3/5/90

با توجه به يك تحقيق تازه منتشر شده توسط آزمايشگاه NSS، IE9 آخرين نسخه مرورگر مايكروسافت در رقابت بين مرورگرها در يك تست در برابر بدافزارهاي مهندسي اجتماعي به خوبي عمل كرد. بر اساس اين آزمايش كه در برابر ششصدو پانزده URL مخرب براي نوزده روز ادامه داشت هر دو نسخه 8 و 9 مرورگر IE در صدر رقابت قرار گرفتند.
در اين رقابت، IE9 با مسدود كردن 92% از بدافزارها و IE8 با مسدود كردن 90% از تهديدها با اختلاف زياد نسبت به رقباي خود در مقام اول و دوم قرار گرفتند. اين در حالي است كه سطح موفقيت مرورگرهاي safari5، كروم نسخه 10 و فايرفاكس 4 سيزده درصد و اپرا 11 پنج درصد بوده است و بدين ترتيب در مقام هاي سوم تا ششم قرار گرفتند.
يك متخصص امنيتي از نتيجه اين تحقيق انتقاد كرده است كه اين آزمايش آسيب پذيري هاي سمت كلاينت را ناديده گرفته است و هم چنين حفاظت حافظه DEP/NX و فيلتر XSS مرورگر IE8 را ارزيابي نكرده است و معتقد است بدافزارهاي مهندسي اجتماعي معيار مناسبي براي ارزيابي جامع از سيستم انسداد بدافزار مرورگرها نيست.

ID: IRCNE2011071195
Date: 2011-07-25

According to "zdnet", According to a newly released research by NSS Labs, Microsoft’s Internet Explorer 9 greatly outperforms competing browsers in an examine against socially-engineered malware. Based on an active testing against 615 malicious URLs for 19 days, both Internet Explorer 9 and Internet Explorer 8 topped the comparative chart.
Here are the findings:

• Windows Internet Explorer 9 - IE9 caught an exceptional 92% of the live threats
• Windows Internet Explorer 8 - caught 90% of the live threats
• Apple Safari 5 - caught 13% of the live threats
• Google Chrome 10 - caught 13% of the live threats
• Mozilla Firefox 4 - caught 13% of the live threats
• Opera 11 - caught 5% of the live threats.

Byexcluding client-side vulnerabilities, the study isn’t assessing IE8’s DEP/NX memory protection, as well as omitting ClickJacking defenses and IE8’s XSS filter. Socially engineered malware is not the benchmark for a comprehensive assessment of a browser’s malware block rate.

شماره: IRCNE2011071194
تاريخ:2/5/90

گوگل يك مشكل امنيتي كه باعث مي شد آدرس وب سايت ها را از فهرست جستجو پاك كند را برطرف كرد.
گوگل ويژگي را غيرفعال كرد كه به كاربران اجازه مي داد تا وب سايت ها را پس از كشف مشكل از ليست جستجو حذف كنند.
جيمز بركنريج، مدير عمليات وب سايت رسانه انگليس، در وبلاگ خود نوشت: با استفاده از ابزار وب مستر گوگل، مورد استفاده براي وب سايت هاي پشتيبان، دريافت كه مي تواند هر وب سايتي از ليست جستجوي گوگل را از طريق دستكاري URL حذف كند.
بركنريج اظهار داشت كه زماني كه به طور تصادفي يكي از سايت هايي را كه هيچ ارتباطي با نتيجه جستجو نداشته است را حذف كرده، هزاران سايت از ليست جستجو حذف شده است.
او نيز افزود: نمي توانم باور كنم كه من تنها كسي هستم كه اين مشكل را پيدا كرده است و اگر اين اطلاعات به دست افراد خرابكار مي افتاد چه مسايلي مي توانست اتفاق بيفتد.
با اين حال گوگل اين مشكل را در ظرف هفت ساعت برطرف كرد و سايت هايي كه نبايد حذف مي شدند به ليست جستجو برگردانده شدند.
مقامات گوگل مقيم لندن، صبح پنجشنبه اين مطلب را تاييد كرده اند.