Microsoft vá lỗ hổng nghiêm trọng trên Windows, Office, Edge, IE và các sản phẩm khác

[WhiteHat News #ID:0911]

Microsoft phát hành gói bản vá an ninh đầu tiên năm 2016, xử lý nhiều lỗi thực thi mã từ xa nghiêm trọng trên Windows, Office, Edge, Internet Explorer, Silverlight và Visual Basic.

​

Hãng cũng vá các lỗ hổng leo thang đặc quyền và thực thi mã từ xa trên Windows và lỗi giả mạo địa chỉ trên Exchange Server, được đánh giá là quan trọng nhưng không đến mức nghiêm trọng, do có các yếu tố giảm nhẹ khác nhau.

Tổng cộng, Microsoft đã phát hành 9 bản cập nhật, vá 24 lỗ hổng.

Theo Wolfgang Kandek từ hãng Qualys, quản trị mạng nên ưu tiên bản cập nhật an ninh MS16-005, đặc biệt cho các hệ thống chạy Windows Vista, 7 và Server 2008.

Bản vá này xử lý lỗ hổng thực thi mã từ xa CVE-2016-0009 từng được công bố, khiến việc tấn công trở nên dễ dàng hơn.

Bản cập nhật quan trọng thứ hai, theo đánh giá của Qualys, là MS16-004, xử lý 6 lỗ hổng trên Microsoft Office. Bản cập nhật được đánh giá ở mức nghiêm trọng.

Nguyên nhân là do lỗ hổng thực thi mã từ xa CVE-2016-0010 xuất hiện trong tất cả các phiên bản của Office từ 2007 đến 2016, kể cả khi chạy trên Mac hay Windows RT.

Nhà nghiên cứu từ hãng Tripwire tin rằng các bản vá Internet Explorer và Microsoft Edge nên được ưu tiên hàng đầu bởi chúng xử lý các lỗ hổng có thể bị khai thác từ xa thông qua các website độc hại hoặc đã bị chiếm quyền kiểm soát.

Các bản vá này được đưa ra trong bản cập nhật an ninh MS16-001 và MS16-002 và sẽ là bản cập nhật cuối cùng cho IE phiên bản 8, 10. IE 9 sẽ tiếp tục được hỗ trợ trên Windows Vista và Windows Server 2008 SP2.

Các doanh nghiệp sử dụng Outlook Web Access (OWA) nên ưu tiên bản cập nhật MS16-010. Cho dù bản cập nhật này chỉ được Microsoft đánh giá ở mức quan trọng, nhưng lỗ hổng mà bản cập nhật này vá có thể cho phép tin tặc khởi phát các cuộc tấn công lừa đảo qua thư điện tử của doanh nghiệp (BEC).

Những cuộc tấn công kiểu này gây thiệt hại cho các doanh nghiệp trên thế giới 1,2 tỷ USD, theo thống kê của trung tâm tố cáo tội phạm trên Internet IC3 thuộc FBI. Trung tâm này xử lý những tin tặc tấn công vào hệ thống email của doanh nghiệp hoặc giả mạo địa chỉ email, dụ nhân viên và đối tác kinh doanh của doanh nghiệp thực hiện chuyển khoản trái phép.

Sau cùng là bản cập nhật MS16-006, xử lý lỗ hổng trong Silverlight, cũng nên được ưu tiên áp dụng bởi lỗi có thể bị lợi dụng thực hiện các cuộc tấn thực thi mã từ xa thông qua plug-in của trình duyệt. Tin tặc đã từng sử dụng mã khai thác Silverlight trước đây.

Nguồn: Computer World​