Patch Tuesday tháng 10 của Microsoft vá 3 lỗ hổng zero-day đang bị khai thác

[WhiteHat Team]

Bản vá tháng 10 của Microsoft xử lý tổng 104 lỗ hổng, trong đó có 3 lỗ hổng zero-day đang bị khai thác trên thực tế.

​

Số lượng các lỗ hổng được vá lần này gồm:

• 26 lỗ hổng leo thang đặc quyền
• 3 lỗ hổng qua mặt tính năng an ninh
• 45 lỗ hổng thực thi mã từ xa
• 12 lỗ hổng tiết lộ thông tin
• 17 lỗ hổng cho phép tấn công từ chối dịch vụ
• 1 lỗ hổng giả mạo

Với 45 lỗ hổng thực thi mã từ xa đã được xử lý, Microsoft chỉ đánh giá 12 trong số này là nghiêm trọng.

Trong số 104 lỗi không bao gồm một lỗi của Chromium có mã định danh là CVE-2023-5346, đã được Google xử lý vào ngày 03/10 và được chuyển sang Microsoft Edge.

3 lỗ hổng zero-day đang bị khai thác​

CVE-2023-41763: lỗi leo thang đặc quyền trong Skype dành cho doanh nghiệp

Đây là lỗi leo thang đặc quyền. Tin tặc nếu khai thác thành công có thể xem thông tin bí mật nhưng không phải tất cả các tài nguyên trong phạm vi bị ảnh hưởng. Từ đó, chúng có thể thay đổi thông tin bị tiết lộ (tính toàn vẹn) hoặc truy cập có giới hạn đến tài nguyên (tính sẵn sàng).

CVE-2023-36563: Lỗi tiết lộ thông tin trong WordPad

Lỗ hổng này có thể bị lợi dụng để đánh cắp mã băm NTLM khi mở một tài liệu ở định dạng WordPad.

Để khai thác lỗ hổng, kẻ tấn công trước hết phải truy cập được vào hệ thống, sau đó chạy một ứng dụng tự tạo mà có thể khai thác được lỗ hổng và chiếm quyền kiểm soát hệ thống bị ảnh hưởng.

Ngoài ra, kẻ tấn công có thể thuyết phục một người dùng cục bộ mở một tệp độc hại như click vào một đường dẫn đính kèm trong email hoặc tin nhắn.

Các mã băm NTLM có thể bị crack hoặc được dùng trong các cuộc tấn công NTLM Relay để chiếm đoạt tài khoản người dùng.

CVE-2023-44487: tấn công HTTP/2 Rapid Reset

Microsoft phát hành các biện pháp giảm thiểu cho kỹ thuật tấn công zero-day DDoS có tên HTTP/2 Rapid Reset đã bị khai thác từ tháng 08.

Cuộc tấn công lợi dụng tính năng hủy luồng HTTP/2 để liên tục gửi và hủy các truy vấn làm quá tải máy chủ/ứng dụng mục tiêu để tạo điều kiện tấn công DoS.

Vì tính năng này được tích hợp trong chuẩn HTTP/2, không có bản vá nào cho kỹ thuật này ngoài việc giới hạn tốc độ hoặc chặn giao thức.

Các bước giảm thiểu của Microsoft trong một khuyến cáo là vô hiệu hóa giao thức HTTP/2 trên máy chủ web. Tuy nhiên, hãng cũng cung cấp một bài viết riêng về HTTP/2 Rapid Reset với thông tin chi tiết hơn.

Microsoft cho biết CVE-2023-41763 và CVE-2023-36563 đã được công bố công khai. Người dùng cần cập nhật bản vá mới nhất để tránh nguy cơ bị tấn công bởi các lỗ hổng trên.

Theo Bleeping Computer​