Patch Tuesday tháng 3 của Microsoft vá 61 lỗ hổng gồm các lỗi nghiêm trọng trong Hyper-V

[WhiteHat Team]

Đến hẹn lại lên, Microsoft phát hành bản cập nhật bảo mật tháng 3, giải quyết 61 lỗ hổng khác nhau trong phần mềm của hãng, bao gồm 2 lỗi nghiêm trọng ảnh hưởng đến Windows Hyper-V, 58 lỗ hổng được đánh giá là quan trọng và 1 lỗ hổng ở mức thấp, không có lỗ hổng nào hiện đang bị khai thác trên thực tế nhưng có 6 lỗi được nhận định có khả năng bị khai thác cao.

​

Bản cập nhật này bổ sung cho 17 lỗ hổng đã được vá trên trình duyệt Edge kể từ khi phát hành bản cập nhật Patch Tuesday tháng 2 năm 2024.

Hai lỗ hổng ở mức nghiêm trọng là CVE-2024-21407 và CVE-2024-21408, ảnh hưởng đến Hyper-V có thể dẫn đến thực thi mã từ xa và gây ra tình trạng từ chối dịch vụ (DoS).

Ngoài ra còn có các lỗ hổng leo thang đặt quyền trong:

• Azure Kubernetes Service Confidential Container (CVE-2024-21400, điểm CVSS: 9,0)
• Windows Composite Image File System (CVE-2024-26170, điểm CVSS: 7,8)
• Authenticator (CVE-2024-21390, điểm CVSS: 7,1)
• Print Spooler (CVE-2024-21433, điểm CVSS: 7,0)

Microsoft cho biết : “Việc khai thác lỗ hổng này có thể cho phép kẻ tấn công truy cập vào mã xác thực đa yếu tố của tài khoản nạn nhân, cũng như sửa đổi hoặc xóa tài khoản trong ứng dụng xác thực mà không ảnh hưởng tới phần mềm đang chạy".

Bản cập nhật cũng vá 2 lỗ hổng thực thi mã từ xa. Đầu tiên là trong Exchange Server (CVE-2024-26198, điểm CVSS: 8,8): Tác nhân đe dọa chưa được xác thực có thể gửi một tập tin chứa mã độc vào thư mục trực tuyến và lừa nạn nhân mở nó, dẫn đến việc thực thi các tập tin DLL độc hại. Tiếp theo là CVE-2024-21334 (điểm CVSS: 9,8) ảnh hưởng đến Open Management Infrastructure (OMI).

Cùng với Microsoft, các bản cập nhật bảo mật cũng đã được phát hành bởi các nhà cung cấp khác trong vài tuần qua để khắc phục một số lỗ hổng, bao gồm các nhà cung cấp như Adobe, Apple, Cisco, Fortinet,...

Người dùng được khuyến nghị cài đặt các bản cập nhật mới nhất giúp bảo vệ hệ thống của họ khỏi các cuộc tấn công.

Theo The Hacker News​