Microsoft vá hơn 100 lỗ hổng bảo mật trong tháng 4
Microsoft phải xử lý các lỗ hổng zero-day nghiêm trọng trong số hơn 100 lỗi được tìm thấy trên các phần mềm phổ biến như Windows, Office, Edge…
Trong bản cập nhật bảo mật Patch Tuesday tháng 4, Microsoft đã vá hơn 100 lỗ hổng, bao gồm nhiều lỗ hổng thực thi mã từ xa (RCE), vấn đề leo thang đặc quyền (EoP), từ chối dịch vụ, rò rỉ thông tin, lừa đảo bằng cách mạo danh (spoofing). Tổng cộng, 10 lỗ hổng được xếp loại nghiêm trọng.
Các sản phẩm được vá lỗi tháng này là hệ điều hành Windows, Microsoft Office, Dynamics, Edge, Hyper-V, File Server, Skype for Business, Windows SMB. Hai lỗ hổng zero-day trong danh sách là CVE-2022-26904, ảnh hưởng đến Windows User Profile Service và CVE-2022-24521, tìm thấy trong Windows Common Log File System Driver. Microsoft đã phát hiện lỗ hổng CVE-2022-24521 bị khai thác ngoài đời.
Video đang HOT
Hai lỗ hổng khác, CVE-2022-26809 và CVE-2022-24491 cũng đáng lưu ý. Chúng tác động đến Remote Procedure Call Runtime và Windows Network File, có thể bị triển khai thông qua RCE.
Tháng trước, trong Patch Tuesday tháng 3, Microsoft vá 71 lỗ hổng, trong đó có hai lỗi nghiêm trọng là CVE-2022-22006 và CVE-2022-24501. Vào tháng 2, số lỗ hổng được vá là 48, gồm một lỗ hổng zero-day.
Microsoft đang chuẩn bị một thay đổi có thể dẫn đến dấu chấm hết của Patch Tuesday. Mang tên Windows Autopatch, dịch vụ cập nhật phần mềm Windows và Office tự động sẽ được tung ra cho các khách hàng doanh nghiệp để đảm bảo họ tiếp cận các bản vá bảo mật nhanh hơn, thay vì chờ cập nhật hàng tháng, ngoại trừ các bản vá khẩn cấp. Windows Autopatch dự kiến ra mắt tháng 7/2022.
Microsoft bỏ sót một lỗ hổng zero-day khiến hàng tỷ máy tính có thể gặp nguy hiểm
Microsoft đã biết về lỗ hổng bảo mật nhưng chưa cung cấp lịch trình phát hành bản sửa lỗi.
Theo một nhà nghiên cứu bảo mật, hàng tỷ máy tính Windows đều có khả năng gặp nguy hiểm vì một lỗ hổng zero-day mà Microsoft đã không vá cẩn thận.
Lỗ hổng này hiện tại chỉ là một proof-of-concept (kiểm tra tính khả thi), chưa bị đưa vào khai thác thực tế, nhưng nhà nghiên cứu bảo mật tin rằng chỉ một số chỉnh sửa nhỏ có thể dẫn đến việc nó bị tận dụng để tấn công diện rộng.
Lỗ hổng lợi dụng một lỗi trong Windows Installer (CVE-2021-41379) mà Microsoft nói rằng đã vá vào đầu tháng này, trang BleepingComputer đã thử nghiệm và có thể dùng để mở công cụ CMD với quyền SYSTEM từ một tài khoản chỉ có quyền thông thường. Kẻ xấu có thể dùng quyền này để chạy bất cứ file thực thi nào trên máy với file MSI để chạy code dưới quyền admin. Quá trình này diễn ra trong chỉ vài giây.
Dù hiện tại vẫn chưa có gì đáng lo ngại về lỗ hổng này, nhưng nếu nó được lan rộng thì hàng tỷ máy tính có thể gặp nguy hiểm. Cách khai thác này cung cấp cho kẻ tấn công quyền quản trị viên trên cả Windows 10 và Windows 11. Tuy nhiên, đây không phải lỗ hổng có thể khai thác từ xa, nên kẻ xấu cần phải tiếp cận thiết bị mới thực hiện được.
Abdelhamid Naceri, người đã phát hiện ra lỗ hổng, cho biết anh quyết định công khai lỗi thay vì gửi cảnh báo trước cho Microsoft vì anh muốn phản đối việc Microsoft giảm số tiền thưởng cho những người tìm ra lỗi của Windows.
Microsoft giờ đây đã biết về lỗ hổng bảo mật nhưng chưa cung cấp lịch trình phát hành bản sửa lỗi. Naceri cũng khuyên các bên thứ ba không nên tự phát hành các bản vá vì làm như vậy sẽ khiến Windows Installer bị trục trặc.
Phần mềm bảo mật của Microsoft nhận diện Office là... mã độc tống tiền May mắn thay, Microsoft đã nhanh chóng khắc phục vấn đề này. Đội ngũ phát triển của Microsoft mới đây đã mắc phải một sai lầm tương đối tai hại, khi phần mềm bảo mật Defender của hãng đã nhận diện một thành phần của bộ ứng dụng văn phòng Office do chính Microsoft phát triển là... mã độc. Cụ thể, sau bản...