Microsoft vá 3 lỗ hổng zero-day trên Windows

[WhiteHat News #ID:0911]

Bản vá tháng 7/2021 của Microsoft được xem như lời cảnh báo tới các hãng phần mềm lớn nhất thế giới về một làn sóng tấn công zero-day mới vào hệ điều hành Windows. Hãng ưu tiên vá 3 lỗ hổng đã bị khai thác.
Microsoft không cung cấp thêm thông tin chi tiết về các cuộc tấn công, tuy nhiên hãng lưu ý bản cập nhật vá cả các lỗi phần mềm đã bị khai thác mà không rõ kẻ tấn công.

Hai trong số 3 lỗ hổng zero-day là lỗi leo thang đặc quyền nhân Windows (CVE-2021-31979 và CVE-2021-33771). Lỗ hổng còn lại là lỗi hỏng bộ nhớ công cụ tập lệnh (CVE-2021-34448), khiến người dùng bị tấn công drive-by thông qua trình duyệt web.
Microsoft ghi nhận tổng cộng 117 lỗ hổng trong hệ sinh thái Windows, một số lỗi nguy hiểm có thể khiến người dùng bị tấn công thực thi mã từ xa. 17 trong số đó ở mức nghiêm trọng.
Bản sửa lỗi cũng xử lý nhiều vấn đề trong Microsoft Office, Microsoft Exchange Server, Bing, SharePoint Server, Internet Explorer, Visual Studio và OpenEnclave. Ngoài các lỗ hổng đã bị khai thác, Microsoft cũng cảnh báo về 5 lỗ hổng khác đã được biết đến rộng rãi; 1 trong số đó ở mức nghiêm trọng và có thể dẫn đến thực thi mã từ xa trên Microsoft Exchange Server.
Adobe cũng đưa ra nhiều khuyến cáo bảo mật đi cùng gói bản vá cho các lỗ hổng nghiêm trọng trong một loạt các sản phẩm phần mềm, trong đó có Adobe Acrobat và Reader.
Người dùng Adobe trên Windows và macOS được khuyến cáo ngay lập tức cập nhật bản vá do các lỗ hổng khiến các thiết bị đứng trước nguy cơ bị tấn công thực thi mã từ xa và dẫn tới leo thang đặc quyền.
Bản cập nhật Acrobat và Reader vá ít nhất 19 lỗ hổng ở mức “nghiêm trọng” hoặc “quan trọng”. “Khai thác thành công có thể dẫn đến thực thi mã tùy ý trong bối cảnh của người dùng hiện tại,” Adobe cảnh báo; đồng thời, lưu ý rằng hầu hết là các lỗi bộ nhớ.
Ngoài ra, Adobe cũng vá 10 lỗi khác trong Adobe Illustrator, Adobe Framemaker, Adobe Dimension và Adobe Bridge.

Nguồn: Security Week​