Patch Tuesday tháng 10 của Microsoft: Vá nhiều lỗi RCE nghiêm trọng

[WhiteHat News #ID:2018]

Bản cập nhật Patch Tuesday tháng 10 của Microsoft vá tổng cộng 87 lỗ hổng, trong đó có 21 lỗi thực thi mã từ xa (RCE).

​

Đây là lần đầu tiên Microsoft tung ra số lượng bản vá ít nhất kể từ tháng 02/2020 nhưng lại bao gồm nhiều lỗ hổng nghiêm trọng.

Trong số này, có 11 lỗi được đánh giá là nghiêm trọng, 75 lỗi quan trọng và 1 ở mức độ trung bình. Các lỗ hổng này tồn tại trong Windows Office và Office Services, Web Apps, Visual Studio, Azure Funtions, framework .NET, Microsoft Dynamics, Open Source Software, Exchange Server và Windows Codecs Library.

Chưa có lỗ hổng nào bị khai thác trên thực tế, tuy nhiên có 6 lỗi chưa vá đã được công khai.

11 lỗi nghiêm trọng

Nghiêm trọng nhất là lỗi thực thi mã từ xa CVE-2020-16898 trong ngăn xếp TCP/IP, xuất phát từ việc các gói ICMPv6 Router Advertisement không được xử lý đúng cách.

Đây là lỗ hổng được Microsoft đánh giá ở mức “có khả năng cao bị khai thác” với điểm CVSS là 9.8. Nếu khai thác thành công, tin tặc có thể thực thi mã trên server hoặc client mục tiêu.

Cũng liên quan đến vấn đề ngăn xếp TCP/IP xử lý không đúng cách các gói ICMPv6 Router Advertisement là lỗ hổng từ chối dịch vụ CVE-2020-16899, có thể khiến hệ thống không phản hồi. Tuy nhiên lỗi này không cho phép thực thi mã từ xa hay leo thang quyền người dùng. Để khai thác lỗi này, kẻ tấn công phải gửi các gói ICMPv6 Router Advertisement tự tạo đến một máy tính Windows từ xa.

Một lỗi RCE khác nằm trong Microsoft Outlook (CVE-2020-16947), xảy ra khi phân tích nội dung HTML trong email. Lỗi này ảnh hưởng đến Microsoft 2016, 2019 và cả Microsoft Office 365. Kẻ tấn công gửi một email tự tạo cho nạn nhân và dụ họ mở file đính kèm trong email. Microsoft lưu ý việc xem file ở chế độ Preview (xem trước) cũng có thể kích hoạt tấn công.

Một lỗi RCE nghiêm trọng khác là CVE-2020-16891 (điểm CVSS 8.8) trong Windows Hyper-V, cho phép kẻ tấn công chạy một chương trình tự tạo trên hệ điều hành của khách bị ảnh hưởng để thực thi mã tùy ý trên hệ điều hành của host.

Các lỗi nghiêm trọng khác gồm:

• CVE-2020-16967 và CVE-2020-16968 ảnh hưởng đến Windows Camera, có cùng điểm CVSS 7.8, đều do lỗi xác thực không đầy đủ dữ liệu người dùng.
• CVE-2020-16951 và CVE-2020-16952: trong SharePoint Server, có cùng điểm CVSS là 8.6. Kẻ tấn công khai thác lỗ hổng bằng cách kiểm tra mã nguồn của một gói ứng dụng. Nếu khai thác thành công, chúng có thể chạy mã tùy ý với quyền của nhóm ứng dụng SharePoint hoặc tài khoản máy chủ.
• CVE-2020-16915, điểm CVSS 7.8, trong Media Foundation Library
• CVE-2020-17003, điểm CVSS 7.8, trong cơ chế render Base3D;
• CVE-2020-16923, điểm CVSS 7.8, trong các thành phần đồ họa;
• CVE-2020-16911, điểm CVSS 8.8 trong giao diện thiết bị Windows Graphics (GDI)

6 lỗi chưa có bản vá

(Ảnh: Các lỗi chưa có bản vá nhưng đã được công bố)​

Đó là lỗi trong cảnh báo của Windows (Windows Error Reporting - CVE-2020-16909).

Hai lỗ hổng trong EoP của thành phần Windows Setup và Windows Storage VSP Driver; hai lỗ hổng tiết lộ thông tin trong nhân và một lỗ hổng tiết lộ thông tin trong framework .NET.

Ngoài ra, đội ngũ bảo mật của Microsoft vẫn đang nỗ lực để giảm thiểu khả năng khai thác lỗ hổng Zerologon.

Đáng chú ý, trong bản vá lần này không có lỗ hổng trong trình duyệt nào được báo cáo.

Theo Dark Reading, Threatpost​