87 lỗi bảo mật được khắc phục trong bản vá tháng 10 của Microsoft

www.tuoitre.vn -   12/10/2020 12:00:00 1036

Thứ ba vừa qua Microsoft đã khắc phục 87 lỗ hổng bảo mật mới được phát hiện trong Bản cập nhật Patch Tuesday tháng 10, bao gồm hai lỗ hổng thực thi mã từ xa nghiêm trọng trên ngăn xếp Windows TCP/IP và Microsoft Outlook.

87 lỗi bảo mật được khắc phục trong bản vá tháng 10 của Microsoft

Được biết 11 lỗi bảo mật trong số đó được đánh giá là nghiêm trọng (critical), 75 lỗi được đánh giá ở mức quan trọng (important) và một lỗi được đánh giá ở mức trung bình (moderate). Những lỗ hổng này ảnh hưởng đến Windows, Office và Dịch vụ Office, Ứng dụng web, Visual Studio, Azure Functions, .NET Framework, Microsoft Dynamics, Open Source Software, Máy chủ Exchange, và Thư viện Codec của Windows.

Mặc dù không có lỗi bảo mật nào bị liệt kê là đang chịu tấn công trên thực tế, nhưng sáu lỗ hổng đã được biết đến công khai tại thời điểm phát hành bản vá.

Nghiêm trọng nhất trong số các lỗi bảo mật là lỗ hổng với số hiệu CVE-2020-16898, cùng điểm CVSS là 9,8. Theo Microsoft, kẻ tấn công có thể gửi các gói tin ICMPv6 Router Advertisement được tạo đặc biệt tới một máy tính Windows từ xa để khai thác lỗ hổng RCE trong ngăn xếp TCP/IP và cuối cùng thực thi mã tùy ý trên máy khách hoặc máy chủ của nạn nhân.

Theo các chuyên gia bảo mật, ‘loại lỗi này có thể phát triển thành sâu máy tính (wormable)’, và cho phép tin tặc thực hiện một cuộc tấn công lây lan từ máy tính này sang máy tính khác mà không cần bất kỳ sự tương tác nào của con người.

Lỗ hổng thứ hai (CVE-2020-16947) là một lỗi RCE trên các phiên bản Outlook bị ảnh hưởng. Nó có thể kích hoạt thực thi mã từ xa đơn giản qua việc dụ người dùng xem một email tự tạo bởi kẻ tấn công.

87 lỗi bảo mật được khắc phục trong bản vá tháng 10 của Microsoft

“Nếu người dùng hiện tại đăng nhập với quyền quản trị, kẻ tấn công có thể chiếm quyền kiểm soát hệ thống bị ảnh hưởng,” Microsoft cho biết trong bản tư vấn bảo mật. “Kẻ tấn công sau đó có thể cài đặt lại các chương trình; xem, thay đổi, hoặc xóa dữ liệu; hay tạo tài khoản mới với đầy đủ quyền của người dùng.”

Một lỗ hổng RCE nghiêm trọng khác đã được phát hiện trong Windows Hyper-V (CVE-2020-1689, điểm CVSS 8,8). Nó bắt nguồn từ việc xác thực đầu vào không đúng cách của một người dùng đã xác thực trên hệ điều hành khách (guest operating system).

Kết quả là kẻ tấn công có thể khai thác lỗ hổng này để chạy một chương trình được tạo đặc biệt trên hệ điều hành khách và khiến hệ điều hành máy chủ Hyper-V thực thi mã tùy ý.

Hai lỗ hổng RCE quan trọng khác (CVE-2020-16967 và CVE-2020-16968) ảnh hưởng đến Windows Camera Codec Pack, cho phép kẻ tấn công gửi một file độc hại, mà khi được mở, nó sẽ khai thác lỗ hổng để chạy mã tùy ý ngay cả khi người dùng đang sử dụng máy.

Cuối cùng, bản vá lần này đã giải quyết một lỗ hổng leo thang đặc quyền (CVE-2020-16909) được liên kết với Windows Error Reporting component (WER). Nó có thể cho phép kẻ tấn công đã xác thực thực thi các ứng dụng độc hại với đặc quyền cao và truy cập vào nhiều thông tin nhạy cảm của nạn nhân.

Các lỗi nghiêm trọng khác được Microsoft khắc phục trong tháng này bao gồm các lỗi RCE trong SharePoint, Thư viện Media Foundation, công cụ kết xuất Base3D, Graphics Component, và Giao diện thiết bị đồ họa của Windows (GDI).

Người dùng Windows và quản trị viên hệ thống được khuyến nghị nên nhanh chóng áp dụng các bản vá bảo mật mới nhất để giảm thiểu tối đa các mối đe dọa trong tương lai.

Để cài đặt các bản cập nhật mới nhất, người dùng có thể chọn ‘Cài đặt → Cập nhật & Bảo mật → Cập nhật Windows ( Start → Settings  → Update & Security →  Windows Update), hoặc chọn Kiểm tra các bản cập nhật Windows (Check for Windows updates).

Theo The Hacker News

TIN CÙNG CHUYÊN MỤC

Liệu công cụ kiểm tra nội dung AI có đán...

03/10/2024 12:00:00 55
Trên thực tế, công cụ kiểm tra nội dung AI không phải lúc nào cũng đáng tin cậy và các ví dụ sau đây...

Công cụ AI tạo sinh được bổ sung thêm tr...

02/10/2024 12:00:00 64
Với bản nâng cấp cho Microsoft Paint, người dùng rất háo hức muốn xem chất lượng hình ảnh mọi người ...

Máy tính liên tục khởi động lại vì bản c...

01/10/2024 12:00:00 57
Máy tính gặp sự cố sẽ xuất hiện lỗi màu xanh lam hoặc xanh lục, đôi khi xuất hiện công cụ Windows Au...

Lỗ hổng ChatGPT macOS có thể kích hoạt p...

30/09/2024 08:00:00 87
Một lỗ hổng bảo mật hiện đã được vá trong ứng dụng ChatGPT của OpenAI dành cho macOS có thể khiến kẻ...

Phát hiện lỗi lạ gây ra hiệu suất thiếu ...

30/09/2024 12:00:00 62
Trong thời gian sớm nhất, bản cập nhật mới sẽ được phát hành ra công chúng.

Mozilla đối mặt với ​​khiếu nại về quyền...

27/09/2024 08:00:00 85
Tổ chức phi lợi nhuận về quyền riêng tư noyb (viết tắt của None Of Your Business) có trụ sở tại Vien...
Xem thêm

TAGS

LIÊN HỆ

Thông tin liên hệ