WhiteHat News #ID:2112
VIP Members
-
16/06/2015
-
83
-
672 bài viết
Microsoft vá lỗ hổng trình duyệt bị khai thác trong thực tế
Thứ Ba, Microsoft công bố 13 bản tin an ninh, vá 50 lỗ hổng trong Windows, Internet Explorer, Edge, Office và Exchange. Theo Microsoft, một trong các lỗ hổng trình duyệt đã bị khai thác trong thực tế.
Hai bản tin an ninh được đánh giá nghiêm trọng, MS16-104 và MS16-105, giải quyết các lỗ hổng trong Windows, Internet Explorer và Edge. Sáu lỗ hổng ảnh hưởng đến cả trình duyệt Internet Explorer và Edge, gồm CVE-2016-3351, lỗ hổng an ninh cho phép kẻ tấn công có được thông tin có thể sử dụng để phá hoại hệ thống mục tiêu.
Lỗ hổng tiết lộ thông tin này có thể bị khai thác nếu kẻ tấn công lừa nạn nhân truy cập vào một trang web độc hại có lưu trữ mã khai thác. Microsoft cho biết CVE-2016-3351 đã bị khai thác để tấn công người dùng Internet Explorer, nhưng không cung cấp thêm chi tiết.
Các lỗ hổng khác được vá trong MS16-104 và MS16-105 ảnh hưởng đến nhiều thành phần khác nhau và có thể dẫn đến tiết lộ thông tin hoặc thực thi mã từ xa.
Bản tin quan trọng khác cho Windows là MS16-106 và MS16-116, giải quyết sáu lỗ hổng có thể dẫn đến leo thang đặc quyền, tiết lộ thông tin và thực thi mã tùy ý.
MS16-116 vá lỗi CVE-2016-3375, lỗi bộ nhớ gây ra bởi cơ chế Microsoft OLE Automation và công cụ VBScript trong Internet Explorer truy cập đối tượng trong bộ nhớ. Lỗ hổng này có thể bị khai thác để thực thi mã từ xa nếu kẻ tấn công thuyết phục nạn nhân truy cập vào một trang web độc hại.
Một bản tin an ninh quan trọng được phát hành cho Office (MS16-107) vá các lỗ hổng vượt qua ASLR, tiết lộ thông tin, giả mạo Outlook, và thực thi mã từ xa.
Lỗi vượt qua ASLR, CVE-2016-0137, là một lỗ hổng được hãng an ninh enSilo báo cho Microsoft gần chín tháng trước. Theo enSilo, vấn đề ảnh hưởng đến Detour, một công cụ hooking được hơn 100 nhà cung cấp sử dụng.
Ba lỗ hổng đã được vá trong Microsoft Exchange gồm lỗi tiết lộ thông tin, chuyển hướng mở và leo thang đặc quyền.
Một bản tin an ninh đáng chú ý là MS16-110, vá nhiều lỗ hổng Windows, gồm một điểm yếu cho phép kẻ tấn công thực hiện brute force băm mật khẩu NTLM của người dùng (CVE-2016-3352). Microsoft cho biết chi tiết cách thức tấn công đã được tiết lộ công khai.
Microsoft cũng phát hành một bản tin an ninh cập nhật Adobe Flash Player trong các sản phẩm của công ty.
Hai bản tin an ninh được đánh giá nghiêm trọng, MS16-104 và MS16-105, giải quyết các lỗ hổng trong Windows, Internet Explorer và Edge. Sáu lỗ hổng ảnh hưởng đến cả trình duyệt Internet Explorer và Edge, gồm CVE-2016-3351, lỗ hổng an ninh cho phép kẻ tấn công có được thông tin có thể sử dụng để phá hoại hệ thống mục tiêu.
Lỗ hổng tiết lộ thông tin này có thể bị khai thác nếu kẻ tấn công lừa nạn nhân truy cập vào một trang web độc hại có lưu trữ mã khai thác. Microsoft cho biết CVE-2016-3351 đã bị khai thác để tấn công người dùng Internet Explorer, nhưng không cung cấp thêm chi tiết.
Các lỗ hổng khác được vá trong MS16-104 và MS16-105 ảnh hưởng đến nhiều thành phần khác nhau và có thể dẫn đến tiết lộ thông tin hoặc thực thi mã từ xa.
Bản tin quan trọng khác cho Windows là MS16-106 và MS16-116, giải quyết sáu lỗ hổng có thể dẫn đến leo thang đặc quyền, tiết lộ thông tin và thực thi mã tùy ý.
MS16-116 vá lỗi CVE-2016-3375, lỗi bộ nhớ gây ra bởi cơ chế Microsoft OLE Automation và công cụ VBScript trong Internet Explorer truy cập đối tượng trong bộ nhớ. Lỗ hổng này có thể bị khai thác để thực thi mã từ xa nếu kẻ tấn công thuyết phục nạn nhân truy cập vào một trang web độc hại.
Một bản tin an ninh quan trọng được phát hành cho Office (MS16-107) vá các lỗ hổng vượt qua ASLR, tiết lộ thông tin, giả mạo Outlook, và thực thi mã từ xa.
Lỗi vượt qua ASLR, CVE-2016-0137, là một lỗ hổng được hãng an ninh enSilo báo cho Microsoft gần chín tháng trước. Theo enSilo, vấn đề ảnh hưởng đến Detour, một công cụ hooking được hơn 100 nhà cung cấp sử dụng.
Ba lỗ hổng đã được vá trong Microsoft Exchange gồm lỗi tiết lộ thông tin, chuyển hướng mở và leo thang đặc quyền.
Một bản tin an ninh đáng chú ý là MS16-110, vá nhiều lỗ hổng Windows, gồm một điểm yếu cho phép kẻ tấn công thực hiện brute force băm mật khẩu NTLM của người dùng (CVE-2016-3352). Microsoft cho biết chi tiết cách thức tấn công đã được tiết lộ công khai.
Microsoft cũng phát hành một bản tin an ninh cập nhật Adobe Flash Player trong các sản phẩm của công ty.
Theo SecurityWeek