[Update] Lỗ hổng zero-day trên Windows và Adobe đều đã được vá

[Ginny Hà]

Cập nhật ngày 13/05/2016: Như đã hẹn với người dùng, ngày 12/5 Adobe đã phát hành phiên bản mới Flash Player cho Windows, Mac và Linux, khắc phục 25 lỗ hổng, trong đó có lỗ hổng zero-day đã bị khai thác trong thực tế. Người dùng được khuyến cáo cập nhật lên phiên bản Flash mới nhất v21.0.0.242.

-----------------------------------------------------

Người dùng Windows vừa được thông báo về hai lỗ hổng zero-day mới phát hiện, một tồn tại trong hệ điều hành của Microsoft và một trong Flash Player của Adobe.

​

Lỗ hổng trên Windows đang bị khai thác trên thực tế nên người dùng cần nhanh chóng cập nhật bản vá mà Microsoft đưa ra hôm nay, trong bản vá định kỳ Ngày thứ 3 của tháng 5. Lỗ hổng CVE-2016-0189 cho phép tin tặc âm thầm thực thi đoạn mã độc hại khi máy tính truy cập các trang giả mạo. Trước đó, theo ghi nhận của Symantec, lỗ hổng đã bị khai thác trong các cuộc tấn công nhắm vào website Hàn Quốc. Về mặt kỹ thuật, lỗ hổng tồn tại trong JScript và VBScript, nhưng tin tặc sử dụng IE làm phương tiện để khai thác lỗ hổng.

Lỗ hổng zero-day trên Flash được Adobe cảnh báo cho phép tin tặc chiếm quyền điều khiển từ xa thiết bị. Lỗ hổng được phát hiện lần đầu bởi các chuyên gia FireEye và hiện đã có mã khai thác. Adobe cho biết hãng lên kế hoạch phát hành bản cập nhật ngay thứ Năm này.

Ngày 10/5, FireEye thông báo về nguy cơ khai thác lỗ hổng zero-day trong các cuộc tấn công lấy cắp thông tin thẻ thanh toán. Cách chuyên gia cho biết, tin tặc lợi dụng lỗ hổng zero-day để tấn công hơn 100 tổ chức tại Bắc Mỹ. Tuy nhiên đây là lỗ hổng CVE-2016-0167 cho phép leo thang đặc quyền mà Microsoft đã vá trong bản vá định kỳ tháng trước.

Bên cạnh lỗ hổng zero-day nhắc tới, bản vá định kỳ tháng 5 của Microsoft cũng khắc phục một số lỗi thực thi mã từ xa khác.

Ngoài ra, lỗ hổng chưa được vá trên Flash một lần nữa cho thấy người dùng nên cân nhắc việc gỡ bỏ ứng dụng này.

Nguồn: Arstechnica​