Microsoft cập nhật Windows, các trình duyệt để vá nhiều lỗ hổng nghiêm trọng

[WhiteHat News #ID:0911]

Bản cập nhật an ninh thứ 13 mới được phát hành của Microsoft là một phần trong gói bản vá ngày thứ Ba trong tháng 3/2016 của hãng, xử lý 10 lỗ hổng trên Windows, Internet Explore, Edge, Office, Server Software và .NET Framework.

Một trong những bản cập nhật nghiêm trọng được phát hàng trong tháng là MS16-023, xử lý 13 lỗ hổng trên IE. Trong đó, lỗi nghiêm trọng nhất có thể bị khai thác bởi tin tặc từ xa để thực thi mã tùy ý đơn giản chỉ bằng cách khiến nạn nhân ghé thăm một website đặc biêt sử dụng IE.

Một bản cập nhật nghiêm trọng khác là MS16-024, giải quyết 11 lỗ hổng trong Microsoft Edge, trong đó có 1 số lỗi ảnh hưởng cả trình duyệt IE.

MS16-026, vá cặp lỗi trên Windows, cũng được đánh giá ở mức nghiêm trọng. Hai lỗi này, liên quan đến cách thức thư viện quản lý Windows Adobe Type xử lý font OpenType đặc biệt, có thể bị khai thác để tấn công DoS và thực thi mã tùy ý.

Các khuyến cáo về MS16-027 chỉ ra rằng Windows bị ảnh hưởng bởi rất nhiều lỗ hổng thực thi mã từ xa nghiêm trọng có thể được kích hoạt khi người dùng mở nội dung đa phương tiện đặc biệt được lưu trữ trên một website.

MS16-028 xử lý hai lỗi liên quan đến Thư viện Windows PDF của Microsoft. Tin tặc có thể khai thác những lỗ hổng này để thực thi mã từ xa bằng cách khiến nạn nhân mở một tập tin PDF đặc biệt.

Tin vui là bản cập nhật cũng giải quyết được lỗ hổng quan trọng gây hỏng bộ nhớ trình điều khiển USB Mass Storage Class của Windows có thể bị khai thác leo thang đặc quyền.

Điều thú vị là các thiết bị USB độc hại có thể được sử dụng để khai thác các máy trạm ngay cả khi đã được khóa, nơi tin tặc có thể truy cập vật lý tạm thời. Ngược lại, các lỗ hổng LNK khai thác bởi Stuxnet và đã được vá trong bản cập nhật MS10-046 yêu cầu nạn nhân duyệt web đến một thư mục độc hại để kích hoạt thực thi mã. Một khác biệt lớn khác nữa, do MS16-033 là một lỗ hổng trong trình điều khiển nên hacker có thể thực thi mã ngay trong nhân, điều không xảy ra với một người dùng đăng nhập.

Các khuyến cáo được Microsoft đưa ra cho từng bản cập nhật cho thấy không có lỗ hổng nào đã được khai thác trên thực tế và cách thức khai thác lỗ hổng cũng chưa được công bố.

Adobe cũng phát hành bản cập nhật an ninh vào thứ Ba để giải quyết một số lỗ hổng trong Acrobat, Reader và Digital Editions.

Nguồn: Security Week​