Patch Tuesday tháng 12 của Microsoft vá 34 lỗi, 1 lỗi zero-day

[WhiteHat News #ID:2018]

Bản cập nhật định kỳ Patch Tuesday tháng 12 của Microsoft xử lý tổng cộng 34 lỗ hổng và 1 lỗ hổng trong CPU của AMD được tiết lộ vào tháng 08 nhưng chưa được vá.

Trong số 8 lỗ hổng thực thi mã từ xa được xử lý, Microsoft chỉ đánh giá 3 lỗi nghiêm trọng. Tổng cộng, có 4 lỗ hổng nghiêm trọng gồm 1 lỗi trong Power Platform (tấn công giả mạo - spoofing), 2 lỗi trong Internet Connection Sharing (thực thi mã từ xa - RCE) và một trong nền tảng Windows MSHTML (RCE).

Số lượng các lỗ hổng được thống kê như sau:

• 10 lỗ hổng leo thang đặc quyền
• 8 lỗ hổng thực thi mã từ xa
• 6 lỗ hổng tiết lộ thông tin
• 5 lỗ hổng cho phép tấn công từ chối dịch vụ
• 5 lỗ hổng tấn công giả mạo (Spoofing)

Trong số này không có 8 lỗ hổng trong Microsoft Edge đã được vá vào ngày 07/12/2023. Đặc biệt, một lỗ hổng zero-day cũng đã Microsoft được xử lý trong bộ vi xử lý AMD.

Lỗ hổng có mã định danh CVE-2023-20588 làm rò rỉ suy đoán AMD (Speculative Leaks ). Đây là lỗi division-by-zero (chia cho 0) trong bộ vi xử lý AMD dẫn đến khả năng trả về dữ liệu nhạy cảm. Lỗ hổng được tiết lộ từ tháng 08/2023 nhưng AMD không đưa ra bản vá ngoài việc đề xuất các biện pháp giảm thiểu.

Các nhà phát triển có thể giảm thiểu vấn đề bằng cách đảm bảo không có dữ liệu đặc quyền nào được sử dụng trong các hoạt động chia trước khi thay đổi phân quyền. AMD đánh giá ảnh hưởng của lỗ hổng ở mức thấp vì cần có quyền truy cập nội bộ.

Ngoài Microsoft, còn có rất nhiều các nhà cung cấp khác cũng đã phát hành bản cập nhật và khuyến cáo bảo mật trong tháng 12 như Atlassian, Apple, Cisco, Google, SAP, VMware, WordPress...

Để biết thêm thông tin về lỗ hổng và hệ thống bị ảnh hưởng trong Patch Tuesday của Microsoft, người dùng có thể tham khảo tại đây.

Theo Bleeping Computer​