PhonieX
مدیر انجمن <A href="forum.majidonline.com/forums/6
سانفرانسيسكو- برای دومين بار طی يك هفته، هكرها متوجه باگی شده‌اند كه در مرورگر اينترنت اكسپلورر شركت مايكروسافت موجود است و قبلا شناخته شده نبوده است و می‌توان با استفاده از آن نرم‌افزارهای غيرمجاز را در كامپيوتر ويندوز اجرا نمود.
اين باگ جديد كه هفته گذشته گزارش شد، می‌تواند برای بررسی كنترل سيستم ويندوز مورد استفاده شود و وب سايت امنيتی FrSIRT آنها باگی با خطر امنيتی بالا رتبه‌بندی نموده است.. (http://www.frsirt.com/english/advisories/2006/1559)
با وجود اينكه كد اثبات مفهوم (proof-of-concept) كه نحوه بهره‌برداری از اين آسيب‌پذيری را نشان می‌دهد، اين باگ را به مساله مهمی تبديل می‌نمايد، عوامل تعديل كننده نيز وجود دارند. FrSIRT اظهار داشت كه مهاجمان ابتدا بايد كاربران را به بازديد از صفحات وب محصوصی فريب داده و سپس از آنها بخواهند تا عملكرد‌های خاصی مثل نوشتن متن خاص در زمينه متن، قبل از آنكه بتوانند نرم‌افزارهای مضر خود را اجرا نمايند، را انجام دهند.
اين حقيقت كه اين باگ بر جديدترين نسخه‌های سيستم‌های عامل ويندوز و Windows Server 2003 مايكروسافت اثر نمی‌گذارد اين خطر را تا حدی كاهش داده است.
به دليل اين عوامل كاهش دهنده خطر، مايكروسافت تصميم گرفته است كه اين باگ را در Update امنيتی اينترنت اكسپلورر اصلاح ننمايد.
مايكروسافت در بيانيه‌ای كه توسط بخش روابط عمومی‌اش تهيه شده است، اظهار داشت كه اين آسيب‌پذيری بدون فعاليت‌های چندگانه كاربران كه در سناريوهای معمول مرورگر وب رايج نيست، نمی‌تواند برای نفوذ در سيستم كاربران به كار گرفته شود. مايكروسافت در اين بيانيه ادامه داد به دليل عوامل كاهش دهنده خطر، متوجه شده‌ايم كه اين موضوع به بهترين نحو در يك عرضه سرويس به صورت پك جواب می‌دهد تا به صورت يك Update امنيتی.
در اين بيانيه آمده است كه مايكروسافت از هيچ حمله‌ای كه تاكنون برای سو استفاده از اين آسيب‌پذيری انجام شده باشد، مطلع نشده است.
Matthew Murphy، پژوهشگری كه اين باگ را كشف كرد. اظهار داشت كاربران كه نمی خواهند منتظر يك سرويس IE بعدی باشند می‌توانند با تغيير ويژگی امنيتی IE خود به نحوی كه مرورگر قبل از ارائه محتويات فعال كاربران را وارد نمی‌نمايد، می‌توانند از مشكلات جلوگيری نمايند. وی در بيانيه‌ای كه در Full Disclosure آمده است، اظهار داشت آسيب‌پذيری اين مورد اصولا به ضعف در شيوه راه اندازی مرورگر در زمان اخطار دادن نسبت به محتويات فعال احتمالا ناامن در صفحه وب بستگی دارد.
http://archives.neohapsis.com/archives/fulldisclosure/2006-04/0759.html وی اخطار داد به هر حال اين كار ممكن است مانع از آن نشود كه وب سايت‌هايی كه به كنترل‌های ActiveX متكی هستند به درستی كار كنند.
اينترنت اكسپلورر همچنان هدف اصلی هكرها است و مايكروسافت بايد تعدادی از باگ‌های مشخص شده عمومی را در جديدترين Update امنيتی برای اين محصول كه در 11 آوريل عرضه شد، اصلاح نمايد.
هفته گذشته، پژوهشگر Michael Zalewski، جزييات باگ مهم مشابهی را در اينترنت اكسپلورر در Full Disclosure منتشر كرد. شركت امنيتی Secunia، باگ Zalewski را بسيار مهم رتبه‌بندی كرد. برای نظر سنجی فوری از مايكروسافت درمورد اين آسيب‌پذيری جديد در زمان تهيه اين مطلب، به اين شركت و مسئولانش دسترسی نداشتيم.
منبع:http://pcworldiran.com/reports/nrp_85002.htm
اين باگ جديد كه هفته گذشته گزارش شد، می‌تواند برای بررسی كنترل سيستم ويندوز مورد استفاده شود و وب سايت امنيتی FrSIRT آنها باگی با خطر امنيتی بالا رتبه‌بندی نموده است.. (http://www.frsirt.com/english/advisories/2006/1559)
با وجود اينكه كد اثبات مفهوم (proof-of-concept) كه نحوه بهره‌برداری از اين آسيب‌پذيری را نشان می‌دهد، اين باگ را به مساله مهمی تبديل می‌نمايد، عوامل تعديل كننده نيز وجود دارند. FrSIRT اظهار داشت كه مهاجمان ابتدا بايد كاربران را به بازديد از صفحات وب محصوصی فريب داده و سپس از آنها بخواهند تا عملكرد‌های خاصی مثل نوشتن متن خاص در زمينه متن، قبل از آنكه بتوانند نرم‌افزارهای مضر خود را اجرا نمايند، را انجام دهند.
اين حقيقت كه اين باگ بر جديدترين نسخه‌های سيستم‌های عامل ويندوز و Windows Server 2003 مايكروسافت اثر نمی‌گذارد اين خطر را تا حدی كاهش داده است.
به دليل اين عوامل كاهش دهنده خطر، مايكروسافت تصميم گرفته است كه اين باگ را در Update امنيتی اينترنت اكسپلورر اصلاح ننمايد.
مايكروسافت در بيانيه‌ای كه توسط بخش روابط عمومی‌اش تهيه شده است، اظهار داشت كه اين آسيب‌پذيری بدون فعاليت‌های چندگانه كاربران كه در سناريوهای معمول مرورگر وب رايج نيست، نمی‌تواند برای نفوذ در سيستم كاربران به كار گرفته شود. مايكروسافت در اين بيانيه ادامه داد به دليل عوامل كاهش دهنده خطر، متوجه شده‌ايم كه اين موضوع به بهترين نحو در يك عرضه سرويس به صورت پك جواب می‌دهد تا به صورت يك Update امنيتی.
در اين بيانيه آمده است كه مايكروسافت از هيچ حمله‌ای كه تاكنون برای سو استفاده از اين آسيب‌پذيری انجام شده باشد، مطلع نشده است.
Matthew Murphy، پژوهشگری كه اين باگ را كشف كرد. اظهار داشت كاربران كه نمی خواهند منتظر يك سرويس IE بعدی باشند می‌توانند با تغيير ويژگی امنيتی IE خود به نحوی كه مرورگر قبل از ارائه محتويات فعال كاربران را وارد نمی‌نمايد، می‌توانند از مشكلات جلوگيری نمايند. وی در بيانيه‌ای كه در Full Disclosure آمده است، اظهار داشت آسيب‌پذيری اين مورد اصولا به ضعف در شيوه راه اندازی مرورگر در زمان اخطار دادن نسبت به محتويات فعال احتمالا ناامن در صفحه وب بستگی دارد.
http://archives.neohapsis.com/archives/fulldisclosure/2006-04/0759.html وی اخطار داد به هر حال اين كار ممكن است مانع از آن نشود كه وب سايت‌هايی كه به كنترل‌های ActiveX متكی هستند به درستی كار كنند.
اينترنت اكسپلورر همچنان هدف اصلی هكرها است و مايكروسافت بايد تعدادی از باگ‌های مشخص شده عمومی را در جديدترين Update امنيتی برای اين محصول كه در 11 آوريل عرضه شد، اصلاح نمايد.
هفته گذشته، پژوهشگر Michael Zalewski، جزييات باگ مهم مشابهی را در اينترنت اكسپلورر در Full Disclosure منتشر كرد. شركت امنيتی Secunia، باگ Zalewski را بسيار مهم رتبه‌بندی كرد. برای نظر سنجی فوری از مايكروسافت درمورد اين آسيب‌پذيری جديد در زمان تهيه اين مطلب، به اين شركت و مسئولانش دسترسی نداشتيم.
منبع:http://pcworldiran.com/reports/nrp_85002.htm
