Patch Tuesday tháng 12 của Microsoft vá 9 CVE nghiêm trọng, 1 lỗi đã bị khai thác

[WhiteHat News #ID:2112]

Microsoft vừa phát hành bản cập nhật Patch Tuesday tháng 12 vá gần 40 lỗ hổng. Trong các lỗi được vá tháng này, chín lỗi được coi là nghiêm trọng và 30 lỗi quan trọng. Một lỗi đã được công khai và một lỗi khác đang bị khai thác trong thực tế.

Lỗ hổng bị khai thác là CVE-2018-8611, một lỗ hổng leo thang đặc quyền Win32K được báo cáo bởi Kaspersky Lab. Đây là tháng thứ ba liên tiếp Microsoft vá lỗ hổng leo thang đặc quyền Win32K.

Lỗi được biết đến công khai là CVE-2018-8517, lỗ hổng từ chối dịch vụ trong các ứng dụng web được xây dựng với .NET Framework. Các lỗi liên quan đến trình duyệt chiếm 25% tất cả các lỗ hổng được xử lý trong tháng này.

Cũng đáng chú ý là CVE-2018-8626, đây cũng là một trong những lỗ hổng nghiêm trọng nhất được vá tháng này. Đây là một lỗ hổng thực thi mã từ xa đối với máy chủ Windows DNS, có thể cho phép kẻ tấn công không được xác thực chạy mã tùy ý trong ngữ cảnh Tài khoản LocalSystem bằng cách gửi yêu cầu độc hại đến máy chủ. "Vì các máy chủ DNS được thiết kế để xử lý các yêu cầu, không có biện pháp bảo vệ thực sự nào khác ngoài việc áp dụng bản vá này".

Theo Allan Liska của Recorded Future, "Mặc dù hầu hết người dùng không phải lo lắng về lỗ hổng này, vì họ không tiết lộ dịch vụ DNS trên Internet, nhưng các tập đoàn lớn và nhà cung cấp dịch vụ Internet chạy máy chủ DNS công khai sẽ phải vá lỗi ngay lập tức".

Các lỗi phía máy chủ cũng bao gồm SharePoint, Exchange Server 2016 (CVE-2018-8604) và Microsoft Dynamics NAV (CVE-2018-8651). Các lỗi đáng chú ý ở phía máy khách ảnh hưởng đến Internet Explorer (CVE-2018-8631) và Microsoft Edge. Edge có năm lỗi nghiêm trọng trong công cụ kịch bản Chakra Core; tất cả đều là lỗi bộ nhớ cho phép thực thi mã từ xa.

Đây là tháng thứ 15 liên tiếp mà Microsoft tiết lộ một lỗ hổng trong công cụ viết kịch bản Chakra.

Người dùng được khuyến cáo cập nhật các bản vá lỗi của Microsoft càng sớm càng tốt.

Theo Dark Reading​