WhiteHat News #ID:0911
VIP Members
-
30/07/2014
-
79
-
711 bài viết
Microsoft phát hành bản cập nhật vá 16 lỗ hổng nghiêm trọng
Nếu bạn cho rằng chỉ cần những bản cập nhật CPU đã giải quyết được các lỗi an ninh nghiêm trọng trong năm nay - Meltdown và Spectre – thì bạn cần thay đổi ngay lập tức, vẫn còn rất nhiều lỗi nghiêm trọng mà bạn phải quan tâm.
Microsoft vừa phát hành Patch Tuesday đầu tiên cho năm 2018, xử lý tổng cộng 56 lỗ hổng CVE, bao gồm một lỗ hổng zero-day trong MS Office đã bị một vài nhóm hacker khai thác trên thực tế.
16 bản cập nhật an ninh được đánh giá là nghiêm trọng, 38 bản quan trọng, một bản trung bình và một bản có mức độ nghiêm trọng thấp. Các bản cập nhật xử lý những lỗ hổng an ninh trong Windows, Office, Internet Explorer, Edge, ChakraCore, ASP.NET và .NET Framework.
Lỗ hổng zero-day (CVE-2018-0802), theo Microsoft, là một lỗi tràn bộ nhớ Office, đã bị khai thác trên thực tế bởi một vài nhóm hacker trong vài tháng qua.
Các lỗ hổng này do một số nhà nghiên cứu từ các công ty Trung Quốc phát hiện như Tencent và Qihoo 360, 0Patch Team của ACROS Security và Check Point Software Technologies. Các lỗi này có thể bị khai thác để thực thi mã từ xa bằng cách lừa người dùng mục tiêu mở một tệp Word độc hại đặc biệt trong MS Office hoặc WordPad.
Theo Microsoft, lỗ hổng này có liên quan đến CVE-2017-11882 – một lỗ hổng 17 năm tuổi nằm trong chức năng Editor (EQNEDT32.EXE) mà Microsoft đã xử lý hồi tháng 11/2017.
Khi các nhà nghiên cứu 0Patch đang phân tích CVE-2017-11882, họ phát hiện một lỗ hổng mới có liên quan (CVE-2018-0802). Chi tiết về CVE-2018-0802 được đăng tải trong một bài blog của Check Point.
Ngoài CVE-2018-0802, Microsoft cũng vá 9 lỗ hổng thực thi từ xa và các lỗ hổng làm lộ bộ nhớ trong MS Office.
Một lỗ hổng an ninh giả mạo (CVE-2018-0819) trong Microsoft Outlook cho MAC, được chỉ ra (tấn công Mailsploit), cũng đã được xử lý. Lỗ hổng không cho phép một số phiên bản Outlook cho Mac xử lý mã hóa và hiển thị địa chỉ email đúng cách, khiến thao tác quét, diệt virus không hoạt động bình thường.
Microsoft cũng đề cập đến một lỗ hổng qua mặt chức năng xác nhận chứng chỉ hợp lệ (CVE-2018-0786) trong .NET Framework (và .NET Core), có thể cho phép hacker hiển thị các chứng chỉ không hợp lệ là hợp lệ.
"Hacker có thể hiển thị chứng chỉ không được phép sử dụng trong một trường hợp cụ thể, nhưng thiết bị lại sử dụng cho mục đích đó," Microsoft cho biết.
Microsoft cũng vá tổng cộng 15 lỗ hổng trong công cụ kịch bản được sử dụng trong Microsoft Edge và Internet Explorer.
Tất cả những lỗi này có thể bị khai thác để thực thi mã từ xa bằng cách lừa một người dùng mục tiêu mở một trang web đặc biệt gây lỗi tràn bộ nhớ, mặc dù chưa có lỗi nào trong số này đã bị khai thác trong thực tế.
Trong khi đó, Adobe cũng vá một lỗ hổng (CVE-2018-4871) trong tháng này có thể cho phép tiết lộ thông tin, mặc dù chưa có trường hợp khai thác trên thực tế.
Người dùng cần áp dụng bản vá an ninh tháng 10 càng sớm càng tốt để ngăn chặn hacker không có quyền kiểm soát máy tính.
Để cài đặt bản cập nhật an ninh, bạn chỉ cần vào Settings → Update & security → Windows Update → Kiểm tra các bản cập nhật, hoặc bạn có thể cài đặt bản cập nhật thủ công tại đây.
Microsoft vừa phát hành Patch Tuesday đầu tiên cho năm 2018, xử lý tổng cộng 56 lỗ hổng CVE, bao gồm một lỗ hổng zero-day trong MS Office đã bị một vài nhóm hacker khai thác trên thực tế.
16 bản cập nhật an ninh được đánh giá là nghiêm trọng, 38 bản quan trọng, một bản trung bình và một bản có mức độ nghiêm trọng thấp. Các bản cập nhật xử lý những lỗ hổng an ninh trong Windows, Office, Internet Explorer, Edge, ChakraCore, ASP.NET và .NET Framework.
Lỗ hổng zero-day (CVE-2018-0802), theo Microsoft, là một lỗi tràn bộ nhớ Office, đã bị khai thác trên thực tế bởi một vài nhóm hacker trong vài tháng qua.
Các lỗ hổng này do một số nhà nghiên cứu từ các công ty Trung Quốc phát hiện như Tencent và Qihoo 360, 0Patch Team của ACROS Security và Check Point Software Technologies. Các lỗi này có thể bị khai thác để thực thi mã từ xa bằng cách lừa người dùng mục tiêu mở một tệp Word độc hại đặc biệt trong MS Office hoặc WordPad.
Theo Microsoft, lỗ hổng này có liên quan đến CVE-2017-11882 – một lỗ hổng 17 năm tuổi nằm trong chức năng Editor (EQNEDT32.EXE) mà Microsoft đã xử lý hồi tháng 11/2017.
Khi các nhà nghiên cứu 0Patch đang phân tích CVE-2017-11882, họ phát hiện một lỗ hổng mới có liên quan (CVE-2018-0802). Chi tiết về CVE-2018-0802 được đăng tải trong một bài blog của Check Point.
Ngoài CVE-2018-0802, Microsoft cũng vá 9 lỗ hổng thực thi từ xa và các lỗ hổng làm lộ bộ nhớ trong MS Office.
Một lỗ hổng an ninh giả mạo (CVE-2018-0819) trong Microsoft Outlook cho MAC, được chỉ ra (tấn công Mailsploit), cũng đã được xử lý. Lỗ hổng không cho phép một số phiên bản Outlook cho Mac xử lý mã hóa và hiển thị địa chỉ email đúng cách, khiến thao tác quét, diệt virus không hoạt động bình thường.
Microsoft cũng đề cập đến một lỗ hổng qua mặt chức năng xác nhận chứng chỉ hợp lệ (CVE-2018-0786) trong .NET Framework (và .NET Core), có thể cho phép hacker hiển thị các chứng chỉ không hợp lệ là hợp lệ.
"Hacker có thể hiển thị chứng chỉ không được phép sử dụng trong một trường hợp cụ thể, nhưng thiết bị lại sử dụng cho mục đích đó," Microsoft cho biết.
Microsoft cũng vá tổng cộng 15 lỗ hổng trong công cụ kịch bản được sử dụng trong Microsoft Edge và Internet Explorer.
Tất cả những lỗi này có thể bị khai thác để thực thi mã từ xa bằng cách lừa một người dùng mục tiêu mở một trang web đặc biệt gây lỗi tràn bộ nhớ, mặc dù chưa có lỗi nào trong số này đã bị khai thác trong thực tế.
Trong khi đó, Adobe cũng vá một lỗ hổng (CVE-2018-4871) trong tháng này có thể cho phép tiết lộ thông tin, mặc dù chưa có trường hợp khai thác trên thực tế.
Người dùng cần áp dụng bản vá an ninh tháng 10 càng sớm càng tốt để ngăn chặn hacker không có quyền kiểm soát máy tính.
Để cài đặt bản cập nhật an ninh, bạn chỉ cần vào Settings → Update & security → Windows Update → Kiểm tra các bản cập nhật, hoặc bạn có thể cài đặt bản cập nhật thủ công tại đây.
Nguồn: The Hacker News, Microsoft