Microsoft Patch Tuesday 08/2025: Vá 107 lỗ hổng, bao gồm zero-day Kerberos

[WhiteHat Team]

Ngày 12/8, Microsoft công bố bản vá bảo mật tháng 8/2025, xử lý tổng cộng 107 lỗ hổng, trong đó có một lỗ hổng zero-day đã được công bố công khai trong Windows Kerberos. Đây là lỗ hổng nâng quyền đặc biệt, cho phép kẻ tấn công đã xác thực có thể giành quyền quản trị miền.

Đợt vá này tập trung xử lý nhiều loại lỗ hổng nghiêm trọng với 44 lỗi leo thang đặc quyền, 35 lỗi thực thi mã từ xa, 18 lỗi lộ thông tin, 9 lỗi giả mạo và 4 lỗi từ chối dịch vụ. Trong số này, 13 lỗi thuộc mức độ nghiêm trọng gồm: 9 lỗi thực thi mã từ xa, 3 lỗi lộ thông tin và 1 lỗi leo thang đặc quyền.

Lỗ hổng zero-day được đáh giá co trong đợt này là CVE-2025-53779, tồn tại trong Windows Kerberos cho phép kẻ tấn công đã xác thực leo thang đặc quyền lên quyền quản trị miền (domain administrator) bằng cách khai thác kỹ thuật truy cập đường dẫn tương đối (relative path traversal). Vấn đề nằm ở cách Kerberos xử lý các đường dẫn nội bộ khi tương tác với dịch vụ Managed Service Accounts (dMSA). Kẻ tấn công nếu có quyền ghi đối với các thuộc tính dMSA quan trọng như msds-groupMSAMembership và msds-ManagedAccountPrecededByLink có thể thao túng các liên kết ủy quyền, cho phép dMSA hành động thay mặt cho một tài khoản người dùng khác với đặc quyền cao hơn.

Điều này mở ra cơ hội để leo thang quyền thông qua việc thao túng các cấu hình dịch vụ, bypass các kiểm soát bảo mật thông thường trong môi trường Active Directory. Lỗ hổng này có mức độ nghiêm trọng vừa phải với điểm CVSS 3.7, nhưng tính chất cho phép chiếm quyền quản trị miền khiến nó rất nguy hiểm trong các cuộc tấn công thực tế, đặc biệt khi kẻ tấn công đã chiếm được tài khoản có quyền hạn nhất định trong hệ thống. Lỗ hổng được phát hiện và công bố bởi nhà nghiên cứu Yuval Gordon của Akamai vào tháng 5/2025, đồng thời đã có các báo cáo kỹ thuật chi tiết phân tích cách khai thác lỗ hổng và tác động tiềm năng của nó trong môi trường doanh nghiệp.

Ngoài ra, các bản vá bảo mật trong tháng này cũng khắc phục nhiều lỗ hổng nghiêm trọng khác, bao gồm:

• CVE-2025-53728: Lỗ hổng rò rỉ thông tin trong Microsoft Dynamics 365 (On-Premises)
• CVE-2025-53786: Lỗ hổng nâng quyền trong Microsoft Exchange Server Hybrid Deployment
• CVE-2025-53778: Lỗ hổng nâng quyền trong Windows NTLM
• CVE-2025-50177: Lỗ hổng RCE trong Microsoft Message Queuing (MSMQ)

Bản vá cũng bao gồm các lỗi liên quan đến nhiều nền tảng Microsoft Azure như Azure File Sync, Azure Stack Hub và Azure Virtual Machines với các lỗ hổng leo thang đặc quyền, lộ thông tin và giả mạo nghiêm trọng, thậm chí có thể bị khai thác từ xa.

Cùng thời điểm, nhiều hãng công nghệ lớn cũng phát hành bản vá:

• 7-Zip sửa lỗi path traversal có thể dẫn tới RCE
• Adobe vá khẩn cấp các zero-day trong AEM Forms sau khi xuất hiện PoC
• Cisco cập nhật cho WebEx và Identity Services Engine
• Fortinet vá nhiều sản phẩm như FortiOS, FortiManager, FortiSandbox, FortiProxy
• Google khắc phục hai lỗ hổng Qualcomm đang bị khai thác tích cực trên Android
• Proton sửa lỗi ứng dụng Authenticator iOS ghi log thông tin TOTP ở dạng thô
• Trend Micro phát hành công cụ khắc phục tạm thời cho lỗ hổng RCE đang bị khai thác trong Apex One
• WinRAR vá lỗi path traversal nghiêm trọng có thể dẫn đến RCE

Microsoft khuyến nghị người dùng và tổ chức cập nhật hệ thống của mình càng sớm càng tốt để bảo vệ khỏi các mối đe dọa tiềm ẩn từ những lỗ hổng này. Người dùng có thể truy cập trực tiếp vào trang chủ Microsoft để xem chi tiết các bản vá và hướng dẫn cập nhật bảo mật tháng 8/2025.

Tổng hợp​