وسم التدوينة Security
Google تصدر تحديثا لـ Chrome يرقع 11 ثغرة
|
بتاريخ: 23 أغسطس 2010
لا يوجد تعليقات
Google تصدر تحديثا لـ Chrome يرقع 11 ثغرة
نشرت Google التحديث رقم 5.0.375.127 لمتصفح Chrome و الذي يأتي ليرقع 11 ثغرة و تخص كلا من Windows، Mac و Linux.
3 ثغرات من مجموع الـ 11 ثغرة التي يرقعها التحديث الجديد وصفت بالحرجة إحداها تستغل ثغرة في نظام Windows و سبع أخريات وصفت بعالية الخطورة.
كعادة متصفح Chrome فإن التحديث يتم بشكل تلقائي و يمكن التأكد منه بالتحقق من رقم إصدار المتصفح و الذي يجب أن يكون 5.0.375.127.
و كعادة Google فإنها تمنح مكافئات نقدية لمكتشفي الثغرات في متصفح Chrome و على رأسهم Sergey Glazunov الذي اكتشف 4 ثغرات من أصل الـ 11 المصححة من طرف هذا التحديث اثنتان موصوفتان بالحرجتين.
للتذكير فإنه قد سبق لـ Google أن رفعت قيمة المكافئات التي تمنحها لمكتشفي الثغرات إلى 3133.7 دولار و ذلك ردا على رفع Mozilla لقيمة مكافئات اكتشاف ثغرات في Firefox إلى 3000 دولار.
Adobe تطرح ترقيعا مستعجلا لـ Acrobat و Reader
|
بتاريخ: 20 أغسطس 2010
لا يوجد تعليقات
Adobe تطرح ترقيعا مستعجلا لـ Acrobat و Reader
طرحت Adobe أمس ترقيعا أمنيا مستعجلا لبرنامجيها Acrobat و Reader لسد ثغرة تم الكشف عنها خلال مؤتمر Black Hat المقام في لاس فيجاس نهاية شهر يوليو الماضي.
الثغرة تخص الإصدار 9.3.3 من كلا البرنامجين و الإصدارات الأقدم لهما، حيث تمكن لدى استغلالها من انهيار التطبيقين و التحكم عن بعد في النظام.
هذا الترقيع موجه للتطبيقين على أنظمة Windows، Mac و Linux. و يمكن تحميله مباشرة عن طريق نظام الترقية التلقائي الخاص بالتطبيقين أو تحميله من على موقع Adobe.
يمكن قراءة التفاصيل التي نشرتها Adobe حول التحديث من هنا.
أو تحميل الإصدار 9.3.4 من Adobe Reader من هنا
بريد مزوّر من LinkedIn قد يعرض جهازك للاختراق
|
بتاريخ: 17 أغسطس 2010
لا يوجد تعليقات
بريد مزوّر من LinkedIn قد يعرض جهازك للاختراق
نوع آخر من البريد المزعج والذي يزعم بأنه رسالة من صديقك في الجامعة بدأ في الظهور مؤخراً، حيث يقول Dan Tynan من ITworld بأنه تلقى أكثر من 20 رسالة متشابهة نوعاً ما من البريد المزعج خلال مدة 24 ساعة تصل بصورة دعوة عبر موقع LinkedIn، والتي تخطى معظمها عبر فلتر البريد المزعج حيث احتوى معظم هذا البريد المزعج على العبارة:
“[Insert name here] has indicated you are a Colleague at Interbrand”
عندما قام Dan بالسماح بعرض الصور المرفقة ظهرت له صورة دعائية لبعض المنشطات الجنسية.
جميع الروابط التي كانت في الرسالة توصل إلى موقع يسمى PathTasty، والذي يقدم نفسه على أنه “Canadian Pharmacy — #1 Internet Online Drugstore”. بالبحث في Google تبين التالي من خلال تقرير معدّ من قبل Mcafee Site Advisor:
“Canadian Pharmacy” / “European Pharmacy” / “Canadian Healthcare” هي عبارة عن منظمات ناشطة دوائية خطيرة وغير قانونية مدارة من قبل بعض المجرمين الروس المعروفين باسم Igor Gusev, Andrey Smirnov وشركاؤهم في برنامج SpamIt/Glavmed.
تلقى Dan أيضاً المزيد من البريد المزعج والذي يوصل إلى مواقع بأسماء غريبة (مثل “Cernoma”). عندما قام Dan بزيارة الموقع، أظهر متصفح Google Chrome الذي يستخدمه التحذير التالي:
والذي يشير إلى أن الموقع يحتوي على شفرات خبيثة تحاول استغلال ثغرات تسمح بتنفيذ drive-by downloads attacks.
من الواضح أن الناس خلف هذه العمليات يحاولون استغلال ثقة الناس ببعض المواقع/الخدمات الاجتماعية المشهورة ليقوموا بفتح البريد الالكتروني الواصل إليهم، ومن هناك يأملون أن يقوم أحدهم بفتح تلك الروابط والتجول عبرها.
هذه ليست المرة الأولى التي تم فيها استغلال شهرة الشبكات والخدمات الاجتماعية بهدف نشر برمجيات خبيثة لدى الغافلين عما يدور خفية عنهم.
يمكن قراءة مزيد من التفاصيل حول الخبر من هنا
دراسة أمنية تكشف عن إمكانية اكتشاف كلمات سر الهواتف الذكية من آثار الأصابع المتروكة على شاشاتها
|
بتاريخ: 15 أغسطس 2010
لا يوجد تعليقات
دراسة أمنية تكشف عن إمكانية اكتشاف كلمات سر الهواتف الذكية من آثار الأصابع المتروكة على شاشاتها
كشفت دراسة قام بها باحثون أمنيون أمريكيون عن أن الآثار التي تتركها الأصابع على شاشات الهواتف الذكية المجهزة بتقنية اللمس، قادرة على الكشف عن كلمة السر المستعملة.
الدراسة الأمنية و التي اقتصرت على جهازي HTC G1 و Nexus One المجهزين بنظام Android و على كلمة سر واحدة، حيث أنه قبل الإصدار 2.2 من نظام Android المسمى Froyo كانت حماية الهاتف تقتصر على الرسم بالأصابع شكلا معينا على شاشة الهاتف، و بما أن المناطق الأكثر استعمالا من الشاشة هي الأقل نظافة بسبب ما تتركه ترسبات اليدين عليها، حيث أن نسبة معرفة كلمة السر (أو رسم السر إن صح القول) وصلت إلى غاية 92% و هذا في ظروف مثالية، لكن هذه النسبة تنزل إلى 37% إذا لم تتوفر كامل شروط استرجاع كلمة السر.
تبقى أفضل وسيلة للحماية من مخاطر اكتشاف كلمات السر هي غسل اليدين قبل الأكل استعمال الهاتف و تغيير كلمة السر بشكل دوري.
يمكن تحميل الدراسة الأمنية من هنا
Apple تطرح QuickTime 7.6.7 لإصلاح ثغرة حرجة
|
بتاريخ: 14 أغسطس 2010
لا يوجد تعليقات
Apple تطرح QuickTime 7.6.7 لإصلاح ثغرة حرجة
قامت Apple بطرح الإصدار 7.6.7 لبرنامج QuickTime لإصلاح ثغرة حرجة تضع أنظمة Windows في خطر.
التحديث، الذي يتوفر لأنظمة Windows XP SP3، Windows Vista و Windows 7، يقوم بإصلاح العلّة التي يمكن استغلالها لتنفيذ شفرات خبيثة عن بعد.
وفقاً لنشرة Apple، يمكن استغلال هذا الخلل باستخدام ملف فيديو تم التلاعب به، وفيما يلي اقتباس منها:
تم اكتشاف خطأ فيض stack buffer overflow في سجل أخطاء QuickTime. يمكن أن يتسبب استعراض ملف فيديو تم التلاعب به إلى إغلاق البرنامج بشكل فجائي أو تنفيذ شفرات برمجية عشوائية. تم إصلاح المشكلة من خلال إيقاف تسجيل أخطاء التنقيح. لا تصيب هذه المشكلة أنظمة Mac OS X.
يمكن تحميل الإصدار الجديد من QuickTime من موقع Apple عبر زيارة الرابط التالي.
لقراءة المزيد من التفاصيل التقنية حول الخبر يمكن مراجعة الرابط التالي.
Apple تطرح الإصدار 4.0.2 لنظام iOS الذي يحمل معه خللاً آخر
|
بتاريخ: 14 أغسطس 2010
لا يوجد تعليقات
Apple تطرح الإصدار 4.0.2 لنظام iOS الذي يحمل معه خللاً آخر
قامت Apple بطرح ترقيع أمني خاص بثغرتين تم اكتشافهما في نظام التشغيل iOS الخاص بجهاز iPhone واللتين سمحتا لأصحاب هذه الأجهزة بكسر حماية النظام من خلال متصفح Safari عبر زيارة موقع Jailbreakme.com.
أثار هذا الفعل العديد من ردود الأفعال، حيث قامت مجموعة Comex صاحبة ثغرة JailbreakMe بنشر الشفرة المصدرية الخاصة بالثغرة كاملة على الانترنت، الأمر الذي يمكن أشخاصاً آخرين من القيام بأعمال خبيثة تجاه هذه الأجهزة مستغلين هذه الثغرة.
في سياق آخر، أشار قراصنة إلى أن Apple لم تقم بتحديث الـ baseband الخاص بالأجهزة، مما يعني بأن نظام التشغيل iOS 4.0.2 ما زال بالإمكان كسر حمايته.
من ناحية أخرى قامت مجموعة iPhone Dev Team – مجموعة أخرى من قراصنة هواتف iPhone - بطرح نسختها الخاصة من الترقيع الأمني الخاص بـ iPhone و iPod Touch للجيل الأول 1G، والتي لم يتم تغطيتها بالترقيع الأمني الخاص بـ Apple.
التوقعات تشير إلى أنه من المرجح أن تظهر طرق أخرى من jailbreaks في المستقبل، وربما يرغب أصحاب أجهزة iPhone مكسورة الحماية بالابتعاد عن تثبيت الترقيعات الأمنية التي تصدرها Apple لنظام iOS.
الإعلان عن ثغرات أمنية في متصفح Opera
|
بتاريخ: 12 أغسطس 2010
لا يوجد تعليقات
الإعلان عن ثغرات أمنية في متصفح Opera
تم الإعلان عن عدة ثغرات ومشاكل أمنية في متصفح Opera، والتي يمكن استغلالها لتجاوز بعض الحواجز الأمنية أو التحكم بالنظام المصاب.
المشاكل المعلن عنها كانت كالتالي:
1- نافذة “Download” توفر خيار لتشغيل الملفات التنفيذية التي تم تحميلها. يمكن استغلال هذا للايقاع بالمستخدم ودفعه للنقر على زر “Run” من خلال وضع نافذة فوق نافذة “Download” والتي يتم إغلاقها من خلال مثلاً، مؤقت زمني قبل أن يقوم المستخدم بالنقر على رابط في الصفحة، مما يؤدي إلى تنفيذ برنامج ما يمكن التكهن بمساره.
تم تأكيد وجود هذه المشكلة في الإصدارات 10.53, 10.54 و 10.60 على نظام تشغيل Windows XP وقد تكون أنظمة أخرى عرضة للإصابة أيضاً.
2- يوجد خطأ في معالجة العمليات الرسومية على canvas في حين يتم إجراء مناقلات معينة، والذي يمكن استغلاله للتسبب بخطأ heap buffer overflow.
الاستغلال الصحيح لهذا الخطأ يمكن أن يسمح بتنفيذ شفرات خبيثة عن بعد.
3- خطأ في فلترة المدخلات input في معالجة ملخصات الأخبار يمكن استغلاله لتنفيذ سكربتات برمجية script code وضم المستخدم تلقائياً إلى القائمة.
ينصح جميع المستخدمين بتحديث نسخة برنامجهم إلى الإصدار 10.61 الذي يتوفر للتحميل.
للإطلاع على ملخص بالتغييرات بين الإصدارين 10.6 و 10.61 يمكن مراجعة الرابط التالي.
الإعلان عن ثغرة أمنية في إحدى وحدات/إضافات نظام إدارة المحتوى Drupal
|
بتاريخ: 12 أغسطس 2010
لا يوجد تعليقات
الإعلان عن ثغرة أمنية في إحدى وحدات/إضافات نظام إدارة المحتوى Drupal
تم الإعلان عن ثغرة أمنية في إحدى وحدات وحدات/إضافات (module) نظام إدارة المحتوى Drupal المسماة Privatemsg ، والتي يمكن استغلالها لتنفيذ هجمات XSS.
لم يتم الإعلان عن تفاصيل المشكلة والمكان الرئيسي للثغرة وما نعرفه أن أحد المدخلات input التي يتم تمريرها لا يتم فلترتها بشكل صحيح قبل استخدامها مما يمكن المهاجم من حقن شفرات HTML و Javascript في متصفح الزائر ضمن الموقع المصاب.
الإصدارات المصابة: جميع الإصدارات السابقة لـ 6.x-1.3 الخاصة بـ Privatemsg module.
تم طرح الإصدار الجديد 6.x-1.3 لحل هذه المشكلة وهو متوفر للتحميل.
الإعلان عن عدة ثغرات عالية الخطورة في بعض منتجات Adobe
|
بتاريخ: 12 أغسطس 2010
لا يوجد تعليقات
الإعلان عن عدة ثغرات عالية الخطورة في بعض منتجات Adobe
تم الإعلان البارحة عن وجود عدة ثغرات عالية الخطورة في تطبيقات كل من تطبيقات:
Adobe Flash Player 10.x,
Adobe AIR 2.x,
Adobe Flash CS3,
Adobe Flash CS4,
Adobe Flash Professional CS5,
Adobe Flex 3.x,
Adobe Flex 4.x
تسمح للمهاجم بالتحكم الكامل بالنظام عن بعد أو تنفيذ هجمات click-jacking.
فيما يلي قائمة بالثغرات المعلن عنها:
1- خطأ في ActionScript Virtual Machine 1 (AVM1) عند معالجة أمر ActionPush يمكن استغلاله لتخريب الذاكرة.
2- عدة أخطاء غير محددة يمكن استغلالها لتخريب الذاكرة.
3- خطأ في “connect” method المتاحة من خلال ActionScript native object ذو الرقم 2200، يمكن استغلاله لتخريب الذاكرة من خلال استدعاء الإجراء عدة مرات مع سلاسل نصية مختلفة.
الاستغلال الفعّال للثغرات المذكورة يمكن أن يسمح بتنفيذ شفرات خبيثة عن بعد.
كما تم الإعلان عن وجود خطأ يمكن من خلاله تنفيذ هجمات click-jacking.
ننصح جميع القراء بتحميل التحديثات الأمنية المتوفرة من خلال زيارة موقع الشركة Adobe.com.
يمكن قراءة المزيد من التفاصيل من خلال زيارة موقع Secunia.
دراسة أمنية تكشف عن إمكانية سرقة البيانات بمجرد الاستماع إلى صوت الطابعة التي تطبعها
|
بتاريخ: 10 أغسطس 2010
لا يوجد تعليقات
دراسة أمنية تكشف عن إمكانية سرقة البيانات بمجرد الاستماع إلى صوت الطابعة التي تطبعها
تلجأ عادة الشركات لتجنب سرقة ملفاتها إلى إتلافها و ذلك باستعمال آلات خاصة بذلك تقوم بتقطيع الأوراق، لكن هل سمعت من قبل عن إمكانية سرقة هذه البيانات قبل أن تخرج من الطابعة (أو تقريبا)، حيث كشف فريق أمني ألماني عن إمكانية سرقة البيانات بمجرد تحليل الصوت الصادر عن الطابعة التي تطبعها.
الطابعات المعنية بالأمر هي الطابعات النقطية فقط dot-matrix printer المعروفة بإصدارها لأصوات لدى الطباعة، حيث عمد الباحثون الأمنيون إلى طباعة ملايين الكلمات الموجودة في القواميس و تسجيل الصوت الذي يصدر عن كل كلمة و إدخالها في قاعدة بيانات كبيرة.
كما تم استخدام خوارزميات التعرف على الصوت لتحسين أداء البرنامج.
وصلت نسبة النجاح في التعرف على محتوى المستندات المطبوعة إلى 72,5 %. و ارتفعت إلى غاية 95,2% لما يكون المجال الذي يعالجه المستند المستهدف معروفا.
يبقى استغلال هذه التقنية محدودا بسبب إلزامية أن يكون الميكروفون الذي يلتقط الصوت على مسافة لا تزيد عن 10 سنتمتر من الطابعة، لكن هذا لا يقلل من أهميتها نظرا للاستعمال الواسع للطابعات النقطية في العديد من المجالات الحساسة، حيث تصل نسبة استعمال هذه الطابعات إلى 30% في البنوك الألمانية، و ترتفع النسبة إلى 60% لدى الأطباء الألمان.
يمكن تحميل الدراسة التي تبين إمكانية التجسس على الطابعات النقطية من هنا، و التي سيتم استعراض هذه النتائج خلال مؤتمر Usenix Security الذي ستدوم فعالياته 3 أيام ابتداءً من يوم غد
