-
09/04/2020
-
85
-
553 bài viết
Patch Tuesday tháng 1 của Microsoft vá 12 lỗ hổng RCE
Đến hẹn lại lên, Patch Tuesday đầu năm của Microsoft đã giải quyết tổng cộng 49 lỗ hổng và 12 lỗ hổng thực thi mã từ xa (RCE), không bao gồm 4 lỗi trong Microsoft Edge được vá vào ngày 5/1.
Số lượng các lỗ hổng được liệt kê dưới đây:
Mặc dù không có lỗ hổng nào đang bị khai thác hoặc được tiết lộ công khai trong tháng này, nhưng người dùng vẫn cần lưu ý một số “cái tên” sau đây.
Lỗ hổng trong bộ Office có mã định danh CVE-2024-20677 cho phép kẻ tấn công tạo tài liệu độc hại có nhúng các tệp mô hình định dạng 3D FBX từ đó thực thi mã từ xa.
Microsoft cho biết: “Lỗ hổng này tồn tại trong tệp FBX. Để giảm thiểu rủi ro, Microsoft đã vô hiệu hóa tính năng chèn tệp FBX trong các ứng dụng Word, Excel, PowerPoint và Outlook trên cả hệ điều hành Windows và Mac. Các phiên bản của Office có tính năng chèn tệp FBX được kích hoạt trước đó sẽ không còn có khả năng truy cập tính năng này nữa. Điều này ảnh hưởng đến các phiên bản Office 2019, Office 2021, Office LTSC cho Mac 2021, và Microsoft 365.
Ngoài ra, các mô hình 3D được chèn từ tệp FBX trong tài liệu Office trước đó vẫn sẽ hoạt động bình thường. Tuy nhiên, nếu người dùng tùy chọn "Link to file" để chèn thì sẽ phát sinh lỗi.”
Một lỗ hổng khác trong Windows Kerberos là CVE-2024-20674 cho phép kẻ tấn công vượt qua tính năng xác thực.
Kẻ tấn công chưa xác thực có thể khai thác lỗ hổng này bằng cách thiết lập một cuộc tấn công xen giữa (MITM) hoặc kỹ thuật giả mạo mạng cục bộ khác, sau đó gửi thông điệp Kerberos độc hại đến máy khách của nạn nhân như thể nó chính là máy chủ xác thực Kerberos.
Danh sách đầy đủ các lỗ hổng được giải quyết trong Patch Tuesday tháng 1 năm 2024 người dùng có thể xem tại đây.
Ngoài Microsoft, các nhà cung cấp khác cũng phát hành bản cập nhật và khuyến cáo bảo mật trong tháng 01/2024 gồm có Cisco, Google, Ivanti, SAP...
Số lượng các lỗ hổng được liệt kê dưới đây:
- 10 lỗ hổng leo thang đặc quyền
- 7 lỗ hổng vượt qua tính năng bảo mật
- 12 lỗ hổng thực thi mã từ xa
- 11 lỗ hổng tiết lộ thông tin
- 6 lỗ hổng cho phép tấn công từ chối dịch vụ DoS
- 3 lỗ hổng tấn công giả mạo (spoofing)
Mặc dù không có lỗ hổng nào đang bị khai thác hoặc được tiết lộ công khai trong tháng này, nhưng người dùng vẫn cần lưu ý một số “cái tên” sau đây.
Lỗ hổng trong bộ Office có mã định danh CVE-2024-20677 cho phép kẻ tấn công tạo tài liệu độc hại có nhúng các tệp mô hình định dạng 3D FBX từ đó thực thi mã từ xa.
Microsoft cho biết: “Lỗ hổng này tồn tại trong tệp FBX. Để giảm thiểu rủi ro, Microsoft đã vô hiệu hóa tính năng chèn tệp FBX trong các ứng dụng Word, Excel, PowerPoint và Outlook trên cả hệ điều hành Windows và Mac. Các phiên bản của Office có tính năng chèn tệp FBX được kích hoạt trước đó sẽ không còn có khả năng truy cập tính năng này nữa. Điều này ảnh hưởng đến các phiên bản Office 2019, Office 2021, Office LTSC cho Mac 2021, và Microsoft 365.
Ngoài ra, các mô hình 3D được chèn từ tệp FBX trong tài liệu Office trước đó vẫn sẽ hoạt động bình thường. Tuy nhiên, nếu người dùng tùy chọn "Link to file" để chèn thì sẽ phát sinh lỗi.”
Một lỗ hổng khác trong Windows Kerberos là CVE-2024-20674 cho phép kẻ tấn công vượt qua tính năng xác thực.
Kẻ tấn công chưa xác thực có thể khai thác lỗ hổng này bằng cách thiết lập một cuộc tấn công xen giữa (MITM) hoặc kỹ thuật giả mạo mạng cục bộ khác, sau đó gửi thông điệp Kerberos độc hại đến máy khách của nạn nhân như thể nó chính là máy chủ xác thực Kerberos.
Danh sách đầy đủ các lỗ hổng được giải quyết trong Patch Tuesday tháng 1 năm 2024 người dùng có thể xem tại đây.
Ngoài Microsoft, các nhà cung cấp khác cũng phát hành bản cập nhật và khuyến cáo bảo mật trong tháng 01/2024 gồm có Cisco, Google, Ivanti, SAP...
Theo Bleeping Computer