Təhlükəsizlik xəbərləri

Kaliforniyada 2.5 milyon vətəndaşın verilənləri risk altındadır
05 iyul 2013-cü il            Mənbə: www.v3.co.uk

Kaliforniya ştatında 2012-ci ildə verilənlərlə bağlı 131 insident məlumatı daxil olmuşdur, bu firmaların təhlükəsizlik üzrə ən yaxşı təcrübəni mənimsəməsinin uğursuz olduğunu göstərir.
Baş prokuror Kamala Harris-in bir hesabatında müəyyən edilmişdir ki, 2.5 milyona yaxın vətəndaşın verilənləri sızma risk altındadır, əgər şirkətlərin elementar təhlükəsizlik tədbirlərindən istifadə etsəydilər, onların çoxunun qarşısını almaq olardı.
Hesabata görə, təşkilatlar öz verilənlərini göndərməzdən öncə sadəcə şifrləsəydilər, 1,4 milliyondan çox insan bu insidentlərdən müdafiə edilmiş olardı. Məlumat verilmiş sızmaların 28 faizinin səbəbi şifrləmənin olmamasıdır.
Harris bildirir ki, “Verilənlərlə bağlı insidentlər fiziki şəxslərin fərdi məlumatları, maliyyəsi və hətta şəxsi təhlükəsizliyi üçün ciddi təhlükədir. Şirkətlər və dövlət agentlikləri verilənləri mühafizə etməklə insanların daha yaxşı müdafiəsi üçün çox şey etməlidirlər.”
Hesabat müəyyən etmişdir ki, məlumat verilmiş hər insident orta hesabla 22 500-ə yaxın istifadəçiyə toxunmuşdur, beş ən böyük insident isə 100 000-dən çox insanın verilənlərinın sızması ilə əlaqəlidir. Pərakəndə satış insidentləri 26 faiz göstərici ilə sızmaların əsas mənbəyi olmuşdur.
Hesabata görə, verilənənlərlə bağlı bütün insidentlərin yarısından çoxu - 55 faizi kənardan hücum edənlərin işidir, qalan 45 faiz bədniyyətli və ya ehtiyatsız əməkdaşlar tərəfindən törədilmiş daxili sızmalardır.
Hakerlər sosial müdafiə verilənlərinə xüsusi maraq göstərir. Hesabat aşkarlamışdır ki, məlumat verilmiş insidentlərin 56 faizi sosial müdafiə nömrələrinə aiddir.

Cisco təhlükəsizlik avadanlıqlarında boşluqlardan xəbər verir
02 iyul 2013-cü il            Mənbə: www.v3.co.uk

Cisco administratorlara şirkətin Veb Təhlükəsizlik və E-poçt Təhlükəsizliyi Avadanlıq sistemlərində aşkarlanmış boşluqlara görə təhlükəsizlik avadanlıqlarını yamamağı məsləhət görür.
Şirkət bildirir ki, bu boşluqlara hər iki təhlükəsizlik sistemində xidmətdən imtina hücumları üçün komanda inyeksiyası boşluqları daxildir.
Veb Təhlükəsizlik Avadanlığı üçün bu düzəltmədə iki autentifikasiyalı komanda inyeksiyası boşluğu üçün yamaqlar olacaq. Bu boşluqlar istismar olunsa, istifadəçiyə hədəfə alınmış avadanlığı uzaqdan nəzarətə götürməyə və istənilən kodu icra etməyə imkan yaradır.
Qalan boşluqlar uzaqdan bədniyyətli tərəfindən xidmətdən imtina hücumu yaratmaq üçün potensial olaraq istimar edilə bilər. Bədniyyətli HTTP və HTTPS ismarıclarının emalında olan boşluğu istismar edərək, istifadəçi və administratorların hədəflənən avadanlığa girişini əngəlləyir. 
E-poçt Təhlükəsizliyi Avadanlığındakı yenilənməyə xidmətdən imtina səhvləri üçün iki və autentifikasiyalı komanda inyeksiyası boşluğu üçün bir yenilənmə daxildir. Veb Təhlükəsizlik Avadanlığı yenilənməsində olduğu kimi, komanda inyeksiyası boşluğu həqiqi uçot yazısı (ing. account) tələb edir, xidmətdən imtina boşluqları isə uzaqdan təhlükəsizlik avadanlığını offlayn rejimə keçirməyi hədəfləyir.
Şirkət məsləhət görür ki, təsirə məruz qalmış Cisco avadanlıqlarının istifadəçiləri yenilənmələri tətbiq etsinlər və ya öz sistemlərini yoxlamaq və zəruri olduqda, yenilənmələri quraşdırmaq üçün öz xidmət provayderlərinə müraciət etsinlər.

Mozilla bir neçə yenilənmə buraxmışdır
28 iyun 2013-cü il            Mənbə: www.us-cert.gov

Mozilla Foundation aşağıdakı məhsullar üçün çoxsaylı boşluqlara ünvanlanan yenilənmələr buraxmışdır.

  • Firefox 22.0
  • Firefox ESR 17.0.7
  • Thunderbird 17.0.7
  • Thunderbird ESR 17.0.7

Bu boşluqlar bədniyyətliyə uzaqdan ixtiyari kodu icra etməyə, potensial olaraq saytlararası skript hücumuna səbəb olmağa, domen spufinqinə, xidmətdən imtina vəziyyətinə, lokal imtiyazı artırmağa və informasiyanı aaçıqlamağa imkan verir.
US-CERT istifadəçilərə və administratorlara Firefox 22.0, Firefox ESR 17.0.7, Thunderbird 17.0.7Thunderbird ESR 17.0.7 üçün Mozilla Foundation Məsləhətçisini nəzərdən keçirməyi və riski azaltmağa kömək edən bütün zəruri yenilənmələri tətbiq etməyi məsləhət görür. 

WordPress 3.5.2 üçün Təhlükəsizlik yenilənməsi buraxılır
27 iyun 2013-cü il            Mənbə: www.us-cert.gov

WordPress çoxsaylı boşluqlara ünvanlanan əvvəlki versiyalar üçün WordPress 3.5.2 buraxmışdır. Bu boşluqlar potensial olaraq uzaqdan bədniyyətliyə saytlararası skript hücumuna səbəb olmağa, artırılmış imtiyaza və ya xidmətdən imtina vəziyyəti yaratmağa imkan verir.
US-CERT istifadəçi və administratorlara WordPress İstismar və Təhlükəsizlik Buraxılış blog-nu nəzərdən keçirməyi və tətbiq ediləcək yenilənmələri müəyyən etmək üçün ən yaxşı praktiki təhlükəsizlik siyasətinə əməl etməyi məsləhət görür.


ABŞ və Rusiya kibertəhlükə məlumatlarını paylaşacaqlar
21 iyun 2013-cü il            Mənbə: www.bankinfosecurity.com

ABŞ və Rusiya yaranan onlayn təhlükələri qiymətləndirmək üçün yeni işci qrupu yaradır. Ağ evin elan etdiy bu qrup növbəti ay fəaliyyətə başlayacaq.
“Surviving Cyberwar” kitabının müəllifi, informasiya təhlükəsizliyi üzrə analitik Richard Stiennon bildirir ki, “Bu böyük ideyadır, çünki yurisdiksiyalararası çəkişmələr kibercinayətlərə uzun müddət kömək etmişdir. Rusiya hüquq-mühafizə orqanları kibercinayətkarların izinə düşmək üçün Qərb agentlikləri ilə sıx əməkdaşlıq etmişdir. ABŞ-la birgə işləmək kibercinayətkarlığın artmasını yavaşıdan yeganə doğru yoldur”.
Ağ Evin informasiya bülleteninə görə, ABŞ və Rusiya şəffaflığı artırmağa və kiber-insidentlərin səhv anlaşılmasının ikitərəfli əlaqələrdə qeyri-stabillik və ya böhran yaratması ehtimalını azaltmağa çalışırlar. İnformasiya bülleteni bu addımı dövlətlərin təhdidləri ortaq dəyərləndirməsinin artması kimi xarakterizə edir.


Java üçün yeni yenilənmə 40 təhlükəsizlik boşluğunu qapayacaq
19 iyun 2013-cü il            Mənbə: www.scmagazine.com

Oracle çərşənbə axşamı Java SE üçün Kritik YamaqYenilənməsi buraxmaqla 40 təhlükəsizlik boşluğunu qapamağı planlaşdırır.
Üçündən başqa, qapanmış bütün boşluqlar autenfikasiya olmadan uzaqdan istismar edilə bilər.
Şirkət yamaqdan əvvəlki məsləhətində bildirirdi ki, “uğurlu hücumun yaratdığı təhlükə səbəbindən Oracle müştərilərinə Kritik Yamaq Yenilənməsini mümkün qədər tez tətbiq etməyi təkidlə məsləhət görür.”
Buraxılmış yenilənmələri bu linkdən yükləmək olar. Oktyabrdan başlayaraq, Java yenilənmələri Oracle-in əsas KritikYamaqYenilənməsinin bir hissəsi kimi ildə üç dəfə deyil, hər rübdə bir dəfə buraxılır.


OWASP-ın 2013-ci il üçün veb proqram risklərinin ilk onluğu
18 iyun 2013-cü il            Mənbə: www.net-security.org

OWASP layihəsində (Open Web Application Security Project -  Veb Tətbiqlərin Təhlükəsizliyi üzrə Açıq layihə) 2003-ci ildən bəri, bütün dünyadan tətbiqi proqram təhlükəsizliyi üzrə tədqiqatçılar və ekspertlər veb proqramların təhlükəsizliyinin vəziyyətini diqqətlə izləyir və məlumatlandırma sənədini hazırlayır. Bu sənəd PCI Şurası, ABŞ Müdafiə Nazirliyi, Federal Ticarət Komissiyası və  dünyada çox sayda başqa təşkilatlar tərəfindən tanınır və istinad edilir.
OWASP 2013-ci ili üçün təşkilatlarda veb tətbiqi proqramların istifadəsi ilə bağlı risklərin ilk onluq siyahısını hazırlamışdır və onlar aşağıdakı kimidir:
1) İnyeksiya
2)  Natamam autentifikasiya və sessiyaların idarə edilməsi
3) Saytlararası skriptlər
4) Obyektə təhlükəli birbaşa müraciətlər
5) Təhlükəsizliyin səhv konfiqurasiya edilməsi
6 Həssas məlumatlara təsirlər
7) Funksiyalar səviyyəsində girişə nəzarətin olmaması
8) Saytlararası sorğuların saxtalaşdırılması
9) Məlum zəif komponentlərdən istifadə
10) Yeni saytlara yönləndirmələrin yoxlanmaması

Risklər, hücum ssenariləri nümunəsi, təsirin zəiflədilməsi və qarşısının alınması üsulları haqqında əlavə izahatlar, proqramçılar, testerlər və təşkilatlar üçün məsləhətlər və yeni siyahının 2010-ci il ildəki  buraxılışla müqayisəsi üçün tam hesabatı yükləyə bilərsiniz .


Adobe Flash Player üçün təhlükəsizlik yenilənmələri əlyetəndir
13 iyun 2013-cü il            Mənbə: www.us-cert.gov

Adobe şirkəti Adobe Flash Player üçün təhlükəsizlik yenilənmələri buraxmışdır. Bu yenilənmələr qəzaya səbəb olmağa və bədniyyətliyə təsirə məruz qalmış sistemi ələ keçirməyə imkan verən boşluqlara ünvanlanır.
Təhlükəsizlik yenilənmələri Adobe Flash Player-in aşağıdakı versiyaları üçün mümkündür.

  • Windows üçün Adobe Flash Player 11.7.700.202 və əvvəlki versiyaları
  • Macintosh üçün Adobe Flash Player 11.7.700.203 və əvvəlki versiyaları
  • Linux üçün Adobe Flash Player 11.2.202.285  və əvvəlki versiyaları
  • Android 4.x üçün Adobe Flash Player 11.1.115.58  və əvvəlki versiyaları
  • Android 3.x və 2.x üçün Adobe Flash Player 11.1.111.54 və əvvəlki versiyaları
  • Windows və Macintosh üçün Adobe AIR 3.7.0.1860  və əvvəlki versiyaları
  • Android üçün Adobe AIR 3.7.0.1860 və əvvəlki versiyaları
  • Adobe AIR 3.7.0.1860 SDK & Compiler və əvvəlki versiyaları

US-CERT istifadəçi və administratorlara  Adobe Təhlükəsizlik Bülleten 13-16-nı nəzərdən keçirməyi və öz təşkilatlarının təsirə məruz qalıb-qalmadığını və uyğun cavablandırmanı müəyyən etmək üçün ən yaxşı praktiki təhlükəsizlik siyasətinə əməl etməyi məsləhət görür.


Pentagon kiber müdafiə üçün milyardlar axtarır
13 iyun 2013-cü il            Mənbə: www.itnews.com.au

ABŞ Müdafiə Nazirliyi IT infrastrukturu kənar müdaxilələrdən müdafiə etmək və hücum potensialını inkişaf etdirmək üçün  beş illiyə 23 milyard dollar büdcə istəyir.
Daha 8.9 milyard dollar açıqlanmayan müdafiə və kiber-hücum əməliyyatları üçün ayrılacaq, amma bu tədbirlər haqqında məlumat verilmir.
Obama administrasiyası elektron müharibəyə böyük pullar xərcləməyə hazır olduğunu Kiber Komandanlığın büdcəsinə milyardlar ayırmaqla göstərmişdir, eyni zamanda Pentaqonun digər hissələrinə maliyyəni ixtisar etmişdir.
Çin, İran və Rusiyadan güman edilən təhdidlər ABŞ-da kiber-müharibə üzərinə artan diqqəti daha da artırır. Bunula yanaşı, keçən il verilən prezident fərmanı ilə, Barak Obama az və ya heç bir təhdid etməyən, kiçik və ya ciddi zərər vura bilən düşməni də hədəfə almaq üçün kiber-hücum imkanlarını artırır.
ABŞ-da hərbi hissələrin öz şəbəkələrini və onlarda olan verilənlərini qorumaq üçün kiber-müdafiəyə  hazırlanmaları gözlənilir.
Bloomberg görə, xərclərin çoxundan SAIC və Northrop-Grumman kimi özəl müdafiə firmalarının faydalanacağı gözlənilir.


2013-cü il iyun ayı üçün Microsoft Təhlükəsizlik Bülletenlər xülasəsi
12 iyun 2013-cü il            Mənbə: technet.microsoft.com

Bu bülleten  xülasəsində 2013-cü ilin iyun ayı üçün buraxılmış təhlükəsizlik bülletenləri sadalanır.
2013-cü ilin iyun ayı üçün təhlükəsizlik bülletenlərinin buraxılışı ilə, bu bülleten xülasəsi 6 iyun 2013-cü il tarixində yayımlanan ön bülleten bildirişini əvəz edir. Ön bülleten bildirişi xidməti haqqında əlavə məlumatı Mikrosoft Ön Təhlükəsizlik Bülleteni Bildirişindən  ala bilərsiniz. 
Microsoft hər dəfə təhlükəsizlik bülletenləri buraxdıqda avtomatik bildirişləri necə almaq haqqında məlumat üçün Mikrosoft Texniki Təhlükəsizlik Bildirişlərinə baş çəkə bilərsiniz.
Microsoft bu bülletenlər üzrə istifadəçilərin suallarına cavab vermək üçün Sakit okean (ABŞ və Kanada) vaxtı ilə 12 iyun 2013-cü il saat 11:00-da bir vebkast hazırlayır. İyun Təhlükəsizlik Bülleteni Vebkastı üçün indi qeydiyyatdan keçə bilərsiniz. Bu tarixdan sonra, bu vebkast yalnız tələb üzrə  mümkündür.
Microsoft istifadəçilərin aylıq təhlükəsizlik yenilənmələrinə onlarla eyni gündə buraxılan istənilən qeyri-təhlükəsizlik yenilənmələri ilə müqayisədə prioritet vermələrinə kömək etmək üçün əlavə informasiya da təmin edir.  

[250-241] [240-231] [230-221] [220-211] [210-201] [200-191] [190-181] [180-171] [170-161] [160-151] [150-141] [140-131] [130-121] [120-111] [110-101] [100-91] [90-81] [80-71] [70-61] [60-51] [50-41] [40-31] [30-21] [20-11] [10-1]


 Əlaqə:
 Telefon: (994 12) 5104253
 E-poçt: info at sciencecert dot az
2013 © AMEA İnformasiya Texnologiyaları İnstitutu
Saytdakı məlumatlardan istifadə edərkən www.sciencecert.az saytına istinad zəruridir.