87 lỗi bảo mật được khắc phục trong bản vá tháng 10 của Microsoft

www.tuoitre.vn -   12/10/2020 12:00:00 587

Thứ ba vừa qua Microsoft đã khắc phục 87 lỗ hổng bảo mật mới được phát hiện trong Bản cập nhật Patch Tuesday tháng 10, bao gồm hai lỗ hổng thực thi mã từ xa nghiêm trọng trên ngăn xếp Windows TCP/IP và Microsoft Outlook.

87 lỗi bảo mật được khắc phục trong bản vá tháng 10 của Microsoft

Được biết 11 lỗi bảo mật trong số đó được đánh giá là nghiêm trọng (critical), 75 lỗi được đánh giá ở mức quan trọng (important) và một lỗi được đánh giá ở mức trung bình (moderate). Những lỗ hổng này ảnh hưởng đến Windows, Office và Dịch vụ Office, Ứng dụng web, Visual Studio, Azure Functions, .NET Framework, Microsoft Dynamics, Open Source Software, Máy chủ Exchange, và Thư viện Codec của Windows.

Mặc dù không có lỗi bảo mật nào bị liệt kê là đang chịu tấn công trên thực tế, nhưng sáu lỗ hổng đã được biết đến công khai tại thời điểm phát hành bản vá.

Nghiêm trọng nhất trong số các lỗi bảo mật là lỗ hổng với số hiệu CVE-2020-16898, cùng điểm CVSS là 9,8. Theo Microsoft, kẻ tấn công có thể gửi các gói tin ICMPv6 Router Advertisement được tạo đặc biệt tới một máy tính Windows từ xa để khai thác lỗ hổng RCE trong ngăn xếp TCP/IP và cuối cùng thực thi mã tùy ý trên máy khách hoặc máy chủ của nạn nhân.

Theo các chuyên gia bảo mật, ‘loại lỗi này có thể phát triển thành sâu máy tính (wormable)’, và cho phép tin tặc thực hiện một cuộc tấn công lây lan từ máy tính này sang máy tính khác mà không cần bất kỳ sự tương tác nào của con người.

Lỗ hổng thứ hai (CVE-2020-16947) là một lỗi RCE trên các phiên bản Outlook bị ảnh hưởng. Nó có thể kích hoạt thực thi mã từ xa đơn giản qua việc dụ người dùng xem một email tự tạo bởi kẻ tấn công.

87 lỗi bảo mật được khắc phục trong bản vá tháng 10 của Microsoft

“Nếu người dùng hiện tại đăng nhập với quyền quản trị, kẻ tấn công có thể chiếm quyền kiểm soát hệ thống bị ảnh hưởng,” Microsoft cho biết trong bản tư vấn bảo mật. “Kẻ tấn công sau đó có thể cài đặt lại các chương trình; xem, thay đổi, hoặc xóa dữ liệu; hay tạo tài khoản mới với đầy đủ quyền của người dùng.”

Một lỗ hổng RCE nghiêm trọng khác đã được phát hiện trong Windows Hyper-V (CVE-2020-1689, điểm CVSS 8,8). Nó bắt nguồn từ việc xác thực đầu vào không đúng cách của một người dùng đã xác thực trên hệ điều hành khách (guest operating system).

Kết quả là kẻ tấn công có thể khai thác lỗ hổng này để chạy một chương trình được tạo đặc biệt trên hệ điều hành khách và khiến hệ điều hành máy chủ Hyper-V thực thi mã tùy ý.

Hai lỗ hổng RCE quan trọng khác (CVE-2020-16967 và CVE-2020-16968) ảnh hưởng đến Windows Camera Codec Pack, cho phép kẻ tấn công gửi một file độc hại, mà khi được mở, nó sẽ khai thác lỗ hổng để chạy mã tùy ý ngay cả khi người dùng đang sử dụng máy.

Cuối cùng, bản vá lần này đã giải quyết một lỗ hổng leo thang đặc quyền (CVE-2020-16909) được liên kết với Windows Error Reporting component (WER). Nó có thể cho phép kẻ tấn công đã xác thực thực thi các ứng dụng độc hại với đặc quyền cao và truy cập vào nhiều thông tin nhạy cảm của nạn nhân.

Các lỗi nghiêm trọng khác được Microsoft khắc phục trong tháng này bao gồm các lỗi RCE trong SharePoint, Thư viện Media Foundation, công cụ kết xuất Base3D, Graphics Component, và Giao diện thiết bị đồ họa của Windows (GDI).

Người dùng Windows và quản trị viên hệ thống được khuyến nghị nên nhanh chóng áp dụng các bản vá bảo mật mới nhất để giảm thiểu tối đa các mối đe dọa trong tương lai.

Để cài đặt các bản cập nhật mới nhất, người dùng có thể chọn ‘Cài đặt → Cập nhật & Bảo mật → Cập nhật Windows ( Start → Settings  → Update & Security →  Windows Update), hoặc chọn Kiểm tra các bản cập nhật Windows (Check for Windows updates).

Theo The Hacker News

TIN CÙNG CHUYÊN MỤC

Phát hiện Dell, HP, Lenovo đang dùng các...

30/11/2022 08:00:00 37
Một phân tích về hình ảnh chương trình cơ sở trên các thiết bị của Dell, HP và Lenovo đã tiết lộ sự ...

Cập nhật ngay trình duyệt Chrome để vá l...

30/11/2022 08:00:00 42
Google hôm thứ Năm đã phát hành bản cập nhật phần mềm để giải quyết một lỗ hổng zero-day khác trong ...

Hàng triệu thiết bị Android vẫn chưa có ...

29/11/2022 08:00:00 47
Một bộ năm lỗ hổng bảo mật mức độ nghiêm trọng trung bình trong trình điều khiển GPU Mali của Arm đã...

Hàng loạt điện thoại Android dính mã độc...

29/11/2022 12:00:00 1
Đã có ít nhất 750 máy nhiễm mã độc nhưng do website chưa bị vô hiệu hóa và World Cup 2022 mới đi đượ...

Hàng nghìn thiết bị bị lây nhiễm phần mề...

28/11/2022 08:00:00 48
Phần mềm độc hại lừa đảo ngân hàng Android được gọi là SharkBot một lần nữa xuất hiện trên Cửa hàng ...

AMD phát hành khẩn cấp gói vá driver chi...

28/11/2022 12:00:00 1
Bản cập nhật mới hứa hẹn sẽ khắc phục ổn thỏa một loạt các vấn đề đã biết, trong đó có một sự cố tươ...
Xem thêm

TAGS

LIÊN HỆ

Thông tin liên hệ