VietNetwork.Vn

Microsoft hôm thứ Ba đã đưa ra các bản sửa lỗi để giải quyết tổng cộng 90 lỗi bảo mật, bao gồm 10 lỗ hổng zero-day, trong đó có 6 lỗ hổng đang bị khai thác ngoài tự nhiên.

Trong số 90 lỗi, 7 lỗi được xếp hạng Nghiêm trọng, 79 lỗi được xếp hạng Quan trọng và một lỗi được xếp hạng Trung bình ở mức độ nghiêm trọng. Đây cũng là ngoài 36 lỗ hổng mà gã khổng lồ công nghệ đã giải quyết trong trình duyệt Edge kể từ tháng trước.


1. Bản vá phần mềm từ Microsoft

Các bản cập nhật Patch Tuesday đáng chú ý vì đã giải quyết được sáu lỗ hổng zero-day bị khai thác tích cực:

• CVE-2024-38189 (điểm CVSS: 8.8) - Lỗ hổng thực thi mã từ xa của Microsoft Project
• CVE-2024-38178 (điểm CVSS: 7.5) - Lỗ hổng tham nhũng bộ nhớ Windows Scripting Engine
• CVE-2024-38193 (điểm CVSS: 7.8) - Trình điều khiển chức năng phụ trợ của Windows dành cho WinSock Nâng cao lỗ hổng đặc quyền
• CVE-2024-38106 (điểm CVSS: 7.0) - Độ cao của lỗ hổng đặc quyền trong nhân Windows
• CVE-2024-38107 (điểm CVSS: 7.8) - Điều phối viên phụ thuộc nguồn điện của Windows Nâng cao lỗ hổng đặc quyền
• CVE-2024-38213 (điểm CVSS: 6.5) - Lỗ hổng vượt qua tính năng bảo mật web của Windows Mark

CVE-2024-38213, cho phép kẻ tấn công vượt qua các biện pháp bảo vệ của SmartScreen, yêu cầu kẻ tấn công gửi cho người dùng một tệp độc hại và thuyết phục họ mở nó. Người được cho là đã phát hiện và báo cáo lỗ hổng này là Peter Girnus của Trend Micro, cho thấy rằng nó có thể là một đường vòng cho CVE-2024-21412 hoặc CVE-2023-36025, vốn trước đây đã bị các kẻ khai thác phần mềm độc hại DarkGate khai thác.

Sự phát triển này đã khiến Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) bổ sung các lỗ hổng vào danh mục Các lỗ hổng bị khai thác đã biết (KEV), bắt buộc các cơ quan liên bang phải áp dụng các bản sửa lỗi trước ngày 3 tháng 9 năm 2024.

Bốn trong số các CVE dưới đây được liệt kê là được biết đến công khai:

• CVE-2024-38200 (điểm CVSS: 7.5) - Lỗ hổng giả mạo Microsoft Office
• CVE-2024-38199 (điểm CVSS: 9,8) - Lỗ hổng thực thi mã từ xa của dịch vụ Windows Line Printer Daemon (LPD)
• CVE-2024-21302 (điểm CVSS: 6.7) - Chế độ hạt nhân bảo mật Windows Độ cao của lỗ hổng đặc quyền
• CVE-2024-38202 (điểm CVSS: 7.3) - Độ cao của lỗ hổng đặc quyền ngăn xếp Windows Update

Scott Caveza, kỹ sư nghiên cứu nhân viên tại Tenable, cho biết về CVE-2024-38200: "Kẻ tấn công có thể tận dụng lỗ hổng này bằng cách dụ nạn nhân truy cập vào một tệp được tạo đặc biệt, có thể thông qua email lừa đảo".

"Việc khai thác thành công lỗ hổng có thể khiến nạn nhân lộ hàm băm của Trình quản lý Lan Công nghệ Mới (NTLM) cho kẻ tấn công từ xa. Hàm băm NTLM có thể bị lạm dụng trong các cuộc tấn công chuyển tiếp NTLM hoặc truyền hàm băm để tăng thêm chỗ đứng của kẻ tấn công trong một tổ chức."

Bản cập nhật cũng giải quyết lỗ hổng leo thang đặc quyền trong thành phần Bộ đệm máy in ( CVE-2024-38198, điểm CVSS: 7.8), cho phép kẻ tấn công giành được các đặc quyền HỆ THỐNG. Microsoft cho biết: "Việc khai thác thành công lỗ hổng này đòi hỏi kẻ tấn công phải giành được điều kiện chạy đua".

Điều đó có nghĩa là Microsoft vẫn chưa phát hành bản cập nhật cho CVE-2024-38202 và CVE-2024-21302. Bản cập nhật này có thể bị lạm dụng để thực hiện các cuộc tấn công hạ cấp nhằm vào kiến trúc cập nhật Windows và thay thế các phiên bản hiện tại của tệp hệ điều hành bằng các phiên bản cũ hơn.

Tiết lộ này theo sau báo cáo từ Fortra về lỗ hổng từ chối dịch vụ (DoS) trong trình điều khiển Hệ thống tệp nhật ký chung ( CLFS ) (CVE-2024-6768, điểm CVSS: 6.8) có thể gây ra sự cố hệ thống, dẫn đến lỗi Blue Màn hình tử thần (BSoD).

Khi đưa ra bình luận, một phát ngôn viên của Microsoft đã nói với The Hacker News rằng vấn đề này "không đáp ứng yêu cầu khắc phục ngay lập tức theo nguyên tắc phân loại mức độ nghiêm trọng của chúng tôi và chúng tôi sẽ xem xét vấn đề này để cập nhật sản phẩm trong tương lai."

"Kỹ thuật được mô tả yêu cầu kẻ tấn công phải có khả năng thực thi mã trên máy mục tiêu và nó không cấp các quyền nâng cao. Chúng tôi khuyến khích khách hàng thực hành thói quen sử dụng máy tính tốt trực tuyến, bao gồm cả việc thận trọng khi chạy các chương trình mà người dùng không nhận ra, ", người phát ngôn nói thêm.

2. Bản vá phần mềm từ các nhà cung cấp khác

Ngoài Microsoft, các bản cập nhật bảo mật cũng đã được các nhà cung cấp khác phát hành trong vài tuần qua để khắc phục một số lỗ hổng, bao gồm:

• Adobe
• AMD
• Apple
• Arm
• Bosch
• Broadcom (including VMware)
• Cisco
• Citrix
• D-Link
• Dell
• Drupal
• F5
• Fortinet
• GitLab
• Google Android
• Google Chrome
• Google Cloud
• Google Wear OS
• HMS Networks
• HP
• HP Enterprise (including Aruba Networks)
• IBM
• Intel
• Ivanti
• Jenkins
• Juniper Networks
• Lenovo
• Linux distributions Amazon Linux, Debian, Oracle Linux, Red Hat, Rocky Linux, SUSE, and Ubuntu
• MediaTek
• Mitel
• MongoDB
• Mozilla Firefox, Firefox ESR, and Thunderbird
• NVIDIA
• Progress Software
• Qualcomm
• Rockwell Automation
• Samsung
• SAP
• Schneider Electric
• Siemens
• SonicWall
• Splunk
• Spring Framework
• T-Head
• Trend Micro
• Zoom, and
• Zyxel