Microsoft
Trung tuần tháng 6, Microsoft đã phát hành 69 bản vá cho các lỗ hổng bảo mật trong các sản phẩm Microsoft Window và Microsoft Component; Office và Office Component; SharePoint Server; Microsoft Edge; .NET and Visual Studio; Microsoft Teams; Azure DevOps; Remote Desktop Client và Microsoft Dynamics.
Đáng chú ý trong bản vá lần này có 3 lỗ hổng nghiêm trọng cùng được đánh giá điểm CVSS 9.8 với mã định danh lần lượt là CVE-2023-29363, CVE-2023-32014 và CVE-2023-32015. Các lỗ hổng này cho phép tin tặc có thể thực thi mã từ xa, không cần xác thực trên một hệ thống có dịch vụ message queuing đang chạy trong môi trường máy chủ Pragmatic General Multicast (PGM). Tuy nhiên, do PGM không phải là một thiết lập phổ biến và nó cũng không được kích hoạt mặc định nên 3 lỗ hổng này được báo cáo là chưa bị khai thác tại thời điểm phát hành bản vá.
Một lỗ hổng bảo mật cũng được đánh giá điểm CVSS 9.8 khác cũng được vá trong bản cập nhật lần này có mã định danh CVE-2023-29375. Lỗ hổng này nằm trong chuỗi lỗ hổng bảo mật được đưa ra từ tháng 3 tại chương trình Pwn2Own Vancouver. Lỗ hổng này cho phép tin tặc bỏ qua xác thực của hệ thống trong phương thức ValidateTokenIssuer. Microsoft đã khuyến cáo người dùng nên bật chức năng AMSI để hạn chế lỗ hổng này nhưng không có kiểm thử nào xác nhận hiệu quả của hành động này. Vì vậy, cách tốt nhất là người dùng hãy kiểm tra và cập nhật bản vá này.
Lỗ hổng nâng cao đặc quyền trong Microsoft SharePoint định danh CVE-2023-29357 có thể cho phép tin tặc chiếm đặc quyền của người dùng khác, bao gồm cả quản trị viên. Lỗ hổng được phát hiện bởi nhà nghiên cứu Jang (Nguyễn Tiến Giang) của StarLabs SG.
Một lỗ hổng trên Microsoft Exchange Server cho phép tin tặc thực thi mã từ xa định danh CVE-2023-32031 cho phép tin tặc có thể kích hoạt mã độc trong ngữ cảnh của tài khoản máy chủ thông qua một cuộc gọi mạng.
Lỗ hổng Type Confusion trong V8 định danh CVE-2023-3079 có thể dẫn đến việc thực thi mã ở cấp độ của người dùng đã đăng nhập. Lỗ hổng này được các nhà nghiên cứu của Chrome phát hiện vào ngày 1/6 và bị khai thác tích cực trong các cuộc tấn công bằng mã độc.
Microsoft cũng đã phát hành nhiều bản cập nhật Microsoft Office cho các lỗ hổng khác cho phép tin tặc sử dụng các tài liệu Excel và OneNote độc hại được tạo đặc biệt để thực thi mã từ xa. Các lỗ hổng này được theo dõi là CVE-2023-33133 (Excel), CVE-2023-33137 (Excel), CVE-2023-33140 (OneNote), CVE-2023-33131 (Outlook). Các lỗ hổng OneNote và Outlook yêu cầu người dùng nhấp vào liên kết trong tệp hoặc email độc hại.
Adobe
Cũng trong tháng 6, Adobe phát hành bản vá cho 18 lỗ hổng bảo mật trong các sản phẩm: Adobe Commerce, Substance 3D Designer, Adobe Animate, và Experience Manager. Trong đó, có 4 lỗ hổng xếp hạng nghiêm trọng, 8 và 6 lỗ hổng xếp hạng trung bình. Không có lỗ hổng nào được liệt kê là đã được biết đến công khai hoặc đang bị khai thác công khai tạo thời điểm phát hành bản vá.
Trong bản vá lần này, hầu hết các lỗ hổng xếp hạng nghiêm trọng và quan trọng là những lỗ hổng cho phép thực thi mã tùy ý nếu người dùng mở một tệp tin PDF được chế tạo đặc biệt trên hệ thống bị ảnh hưởng. Điển hình như lỗ hổng có mã định danh CVE-2023-21618 trên sản phẩm Adobe Substance 3D Designer phiên bản 12.4.1 trở về trước, khi người dùng vô ý mở một tệp độc hại, tin tặc có thể thực thi mã tùy ý ở quyền của người dùng hiện tại.
SAP
Ở một động thái khác, SAP đã phát hành bản vá cho 12 lỗ hổng đang bị tích cực khai thác. Trong đó, có 4 lỗ hổng xếp hạng nghiêm trọng, 7 lỗ hổng quan trọng và 1 lỗ hổng xếp hạng trung bình. có điểm CVSS cao nhất 8.8 được vá lần này định danh CVE-2021-42063. Lỗ hổng này cho phép tin tặc có thể đưa một đoạn script chứa mã độc vào một trang web đang được xem bởi người dùng. Nếu khai thác thành công, tin tặc có thể đánh cắp được các thông tin nhạy cảm như thông tin đăng nhập hoặc các thông tin cá nhân của người dùng. SAP khuyến cáo người dùng cập nhật bản vá nhanh nhất có thể để phòng tránh rủi ro đáng tiếc.
Mai Hương
15:00 | 23/06/2023
07:00 | 26/06/2023
10:00 | 01/06/2023
09:00 | 29/10/2024
Trong báo cáo nghiên cứu toàn cầu về đào tạo và nâng cao nhận thức an ninh mạng năm 2024 mới đây của Fortinet đã nêu bật vai trò quan trọng của lực lượng lao động có hiểu biết về an ninh mạng trong việc quản lý và giảm thiểu rủi ro cho tổ chức.
14:00 | 28/10/2024
Người dùng Android gần đây đang gặp phải một vấn đề rắc rối liên quan đến Google Play, khi các bản cập nhật cho các ứng dụng hệ thống không hiển thị trên màn hình "đang tải xuống".
07:00 | 22/10/2024
Mới đây, OpenAI công bố đã triệt phá hơn 20 chiến dịch tấn công mạng trên toàn cầu, đánh dấu một bước tiến quan trọng trong việc bảo vệ không gian mạng khỏi những kẻ xấu lợi dụng công nghệ trí tuệ nhân tạo (AI) cho mục đích phi pháp.
09:00 | 29/08/2024
Ngày 23/8, Sở Thông tin & Truyền thông TP.HCM phối hợp cùng Hiệp hội An toàn thông tin (VNISA HCM) đã tổ chức thành công sự kiện Hội thảo và Triển lãm an toàn thông tin khu vực phía Nam 2024. Mi2 vinh dự được đồng hành cùng chương trình với cương vị là Nhà tài trợ Bạc cùng Trellix và Đồng tài trợ cùng Rapid7 mang đến những giải pháp bảo mật toàn diện trước tình hình tấn công phức tạp của Ransomware hiện đang là mối quan tâm cho các tổ chức, doanh nghiệp Việt Nam.
Công ty chuyên về bảo mật dữ liệu Fortanix (Hoa Kỳ) và Sectigo (Hoa Kỳ) nhà cung cấp giải pháp an ninh mạng toàn cầu mới đây vừa công bố hợp tác chiến lược nhằm nâng cao bảo mật chuỗi cung ứng phần mềm thông qua việc cấp chứng chỉ ký mã tự động.
13:00 | 14/11/2024