WhiteHat News #ID:0911
VIP Members
-
30/07/2014
-
79
-
711 bài viết
Microsoft vá 5 lỗ hổng zero-day
Microsoft vừa phát hành gói bản vá Patch Tuesday tháng, cập nhật tổng cộng 10 bản vá và người dùng buộc phải áp dụng cả 10 bản vá này, dù muốn hay không.
Đó là bởi vì Microsoft mới đưa ra kiểu bản vá tất cả-hoặc-không gì cả gây tranh cãi trong tháng này bằng cách đóng gói tất cả các bản cập nhật an ninh vào một đoạn dữ liệu duy nhất, nên bạn không thể chọn các bản vá lỗi riêng lẻ để cài đặt.
Bản cập nhật tháng 10 bao gồm các bản vá cho ít nhất 5 lỗ hổng zero-day nguy hiểm trên Internet Explorer, Edge, Windows và các sản phẩm Office đã bị tin tặc khai thác trên thực tế trước khi có bản vá.
Các bản vá cho các lỗ hổng zero-day này được bao gồm trong MS16-118, MS16-119, MS16-120, MS16-121 và MS16-126. Tất cả các lỗ hổng zero-day đang bị khai thác trên thực tế, cho phép hacker thực thi một lệnh từ xa trên hệ thống của nạn nhân.
Mặc dù không có lỗ hổng zero-day nào được công bố trước ngày Thứ ba, nhưng hãng đã biết được các cuộc tấn công khai thác các lỗ hổng này, Microsoft cho biết.
Dưới đây là danh sách các lỗ hổng zero-day:
CVE-2016-3298: Lỗ hổng zero-day trong Internet Explorer tiết lộ thông tin trình duyệt, đã được vá trong bản cập nhật MS16-118 cùng với 11 lỗ hổng khác. Lỗi có thể cho phép hacker "kiểm tra sự hiện diện của các tập tin trong ổ đĩa".
CVE-2016-7189: Lỗ hổng zero-day trong engine kịch bản của trình duyệt đã được vá trong bản cập nhật Microsoft Edge, MS16-119, cùng với các lỗ hổng khác. Đây là một lỗ hổng thực thi mã từ xa.
CVE-2016-3393: Lỗ hổng zero-day trong thành phần Graphics của Microsoft Windows đã được giải quyết trong MS16-120, có thể bị khai thác trên web, hoặc qua email có chứa tập tin độc hại hoặc trên ứng dụng chia sẻ file để tiến hành các cuộc tấn công RCE.
CVE-2016-7193: Lỗ hổng zero-day trong Office đã được giải quyết trong MS16-121 tin. Đây là một lỗ hổng thực thi mã từ xa do cách Office xử lý các tập tin RTF.
CVE-2016-3298: Lỗ hổng zero-day đã được vá trong MS16-126, lỗ hổng duy nhất không được đánh giá ở mức nghiêm trọng. Đây là một lỗ hổng tiết lộ thông tin, ảnh hưởng đến Vista, Windows 7 và 8 và tồn tại trong Microsoft Internet Messaging API.
Một bản cập nhật nghiêm trọng khác là MS16-122, vá một lỗi thực thi mã từ xa, CVE-2016-0142, trong trình điều khiển video của Windows, ảnh hưởng đến Windows Vista, 7, 8 và 10. Lỗi có thể bị khai thác khi người dùng mở một file hoặc ứng dụng tự tạo từ trang web hoặc email.
Microsoft cũng đã vá mười hai lỗ hổng trong Adobe Flash Player cho Windows 8.1, Windows 10, và Server 2012 trong MS16-127.
Các bản cập nhật còn lại được đánh giá ở mức quan trọng hoặc vừa phải, bao gồm MS16-123, MS16-124 và MS16-125, vá 5 lỗi leo thang đặc quyền trong Windows Kernel-Mode, 4 lỗi leo thang đặc quyền trong Windows Registry, và 1 lỗi leo thang đặc quyền trong Windows Diagnostics Hub.
Cập nhật bản vá Adobe
Adobe cũng phát hành một phiên bản Flash Player mới, vá hàng chục lỗ hổng trong các phần mềm của hãng, hầu hết trong số đó là lỗi thực thi mã từ xa.
Adobe cũng đã công bố mã clean-up cho các lỗi an ninh được liệt kê CVE 71 (!) trong Acrobat và Reader, cùng với một bản vá cho lỗ hổng leo thang đặc quyền trong Creative Cloud.
Người dùng nên áp dụng các bản vá cho Windows và Adobe để tránh bị tin tặc và tội phạm mạng kiểm soát máy tính của mình.
Cần khởi động lại hệ thống để để cài đặt bản cập nhật. Vì vậy, trước khi áp dụng các bản vá, các quản trị viên cần lưu lại công việc đang thực hiện trên máy tính.
Đó là bởi vì Microsoft mới đưa ra kiểu bản vá tất cả-hoặc-không gì cả gây tranh cãi trong tháng này bằng cách đóng gói tất cả các bản cập nhật an ninh vào một đoạn dữ liệu duy nhất, nên bạn không thể chọn các bản vá lỗi riêng lẻ để cài đặt.
Bản cập nhật tháng 10 bao gồm các bản vá cho ít nhất 5 lỗ hổng zero-day nguy hiểm trên Internet Explorer, Edge, Windows và các sản phẩm Office đã bị tin tặc khai thác trên thực tế trước khi có bản vá.
Các bản vá cho các lỗ hổng zero-day này được bao gồm trong MS16-118, MS16-119, MS16-120, MS16-121 và MS16-126. Tất cả các lỗ hổng zero-day đang bị khai thác trên thực tế, cho phép hacker thực thi một lệnh từ xa trên hệ thống của nạn nhân.
Mặc dù không có lỗ hổng zero-day nào được công bố trước ngày Thứ ba, nhưng hãng đã biết được các cuộc tấn công khai thác các lỗ hổng này, Microsoft cho biết.
Dưới đây là danh sách các lỗ hổng zero-day:
CVE-2016-3298: Lỗ hổng zero-day trong Internet Explorer tiết lộ thông tin trình duyệt, đã được vá trong bản cập nhật MS16-118 cùng với 11 lỗ hổng khác. Lỗi có thể cho phép hacker "kiểm tra sự hiện diện của các tập tin trong ổ đĩa".
CVE-2016-7189: Lỗ hổng zero-day trong engine kịch bản của trình duyệt đã được vá trong bản cập nhật Microsoft Edge, MS16-119, cùng với các lỗ hổng khác. Đây là một lỗ hổng thực thi mã từ xa.
CVE-2016-3393: Lỗ hổng zero-day trong thành phần Graphics của Microsoft Windows đã được giải quyết trong MS16-120, có thể bị khai thác trên web, hoặc qua email có chứa tập tin độc hại hoặc trên ứng dụng chia sẻ file để tiến hành các cuộc tấn công RCE.
CVE-2016-7193: Lỗ hổng zero-day trong Office đã được giải quyết trong MS16-121 tin. Đây là một lỗ hổng thực thi mã từ xa do cách Office xử lý các tập tin RTF.
CVE-2016-3298: Lỗ hổng zero-day đã được vá trong MS16-126, lỗ hổng duy nhất không được đánh giá ở mức nghiêm trọng. Đây là một lỗ hổng tiết lộ thông tin, ảnh hưởng đến Vista, Windows 7 và 8 và tồn tại trong Microsoft Internet Messaging API.
Một bản cập nhật nghiêm trọng khác là MS16-122, vá một lỗi thực thi mã từ xa, CVE-2016-0142, trong trình điều khiển video của Windows, ảnh hưởng đến Windows Vista, 7, 8 và 10. Lỗi có thể bị khai thác khi người dùng mở một file hoặc ứng dụng tự tạo từ trang web hoặc email.
Microsoft cũng đã vá mười hai lỗ hổng trong Adobe Flash Player cho Windows 8.1, Windows 10, và Server 2012 trong MS16-127.
Các bản cập nhật còn lại được đánh giá ở mức quan trọng hoặc vừa phải, bao gồm MS16-123, MS16-124 và MS16-125, vá 5 lỗi leo thang đặc quyền trong Windows Kernel-Mode, 4 lỗi leo thang đặc quyền trong Windows Registry, và 1 lỗi leo thang đặc quyền trong Windows Diagnostics Hub.
Cập nhật bản vá Adobe
Adobe cũng phát hành một phiên bản Flash Player mới, vá hàng chục lỗ hổng trong các phần mềm của hãng, hầu hết trong số đó là lỗi thực thi mã từ xa.
Adobe cũng đã công bố mã clean-up cho các lỗi an ninh được liệt kê CVE 71 (!) trong Acrobat và Reader, cùng với một bản vá cho lỗ hổng leo thang đặc quyền trong Creative Cloud.
Người dùng nên áp dụng các bản vá cho Windows và Adobe để tránh bị tin tặc và tội phạm mạng kiểm soát máy tính của mình.
Cần khởi động lại hệ thống để để cài đặt bản cập nhật. Vì vậy, trước khi áp dụng các bản vá, các quản trị viên cần lưu lại công việc đang thực hiện trên máy tính.
Nguồn: Softpedia