Microsoft phát hành bản vá bảo mật Patch Tuesday cho 129 lỗ hổng

Microsoft đã cho phát hành bản vá bảo mật Patch Tuesday của tháng 9 và vá tổng cộng 129 lỗ hổng bảo mật ảnh hưởng đến một loạt các phiên bản khác nhau của hệ điều hành Windows và nhiều phần mềm liên quan khác.



129 lỗi kể trên đã ảnh hưởng tới nhiều sản phẩm khác nhau của “gã khổng lồ công nghệ” bao gồm Microsoft Windows, Edge browser, Internet Explorer, ChakraCore, SQL Server, Exchange Server, Office, ASP.NET, OneDrive, Azure DevOps, Visual Studio và Microsoft Dynamics. Trong số các lỗ hổng này, có 23 lỗi bị đánh giá là đặc biệt nghiêm trọng (critical), 105 lỗ hổng là nghiêm trọng (important) và 1 lỗ hổng có mức độ nghiêm trọng vừa phải (moderate).



Không giống những bản Patch Tuesday của vài tháng trước, bản vá bảo mật lần này không có lỗ hổng nào được phát hiện công khai trước đó hay đang bị tấn công tích cực trên thực tế, ít nhất đó là những gì Microsoft được biết ở thời điểm hiện tại.



Trong số các lỗ hổng đặc biệt nghiêm trọng, nổi bật nhất là một lỗ hổng gián đoạn bộ nhớ ( CVE-2020-16875 ) nằm trong phần mềm Microsoft Exchange. Nếu khai thác thành công, lỗ hổng này có thể cho phép kẻ tấn công chạy mã tùy ý ở cấp độ HỆ THỐNG (SYSTEM) bằng cách gửi một email được tạo đặc biệt tới một Exchange Server bị ảnh hưởng. 



“Một lỗ hổng thực thi mã từ xa đã xuất hiện trong phần mềm Microsoft Exchange do phần mềm không xử lý đúng cách các đối tượng trong bộ nhớ,” Microsoft giải thích. “Lợi dụng lỗ hổng này kẻ tấn công có thể tùy ý cài đặt các chương trình; xem, thay đổi hay xóa dữ liệu; hoặc tạo tài khoản mới trên phần mềm.”



Microsoft cũng đã vá hai lỗi thực thi mã từ xa đặc biệt nghiêm trọng khác trên Windows Codecs Library. Cả hai lỗ hổng này đều xuất hiện do Microsoft Windows Codecs Library xử lý không đúng cách các đối tượng trong bộ nhớ. Nhưng trong khi lỗ hổng thứ nhất ( CVE-2020-1129 ) có thể bị khai thác để thu thập các thông tin nhạy cảm nhằm xâm phạm sâu hơn vào hệ thống của người dùng, thì lỗ hổng thứ hai ( CVE-2020-1319 ) có thể bị lợi dụng để chiếm quyền kiểm soát hệ thống bị ảnh hưởng.



Bên cạnh những lỗ hổng nêu trên, Microsoft còn phát hiện thêm hai lỗi thực thi mã từ xa khác ảnh hưởng đến quá trình triển khai tại chỗ (on-premises) của Microsoft Dynamics 365. Tuy nhiên, cả hai lỗi này đều yêu cầu kẻ tấn công phải xác thực thì mới có thể khai thác.



Microsoft cũng đã vá sáu lỗ hổng thực thi mã từ xa đặc biệt nghiêm trọng trên SharePoint và một lỗ hổng trên SharePoint Server. Trong khi lỗ hổng trên SharePoint Server yêu cầu kẻ tấn công phải được xác thực để có thể khai thác, 6 lỗ hổng trên SharePoint không có yêu cầu tương tự.



Các lỗi đặc biệt nghiêm trọng khác mà gã khổng lồ công nghệ này vá trong tháng 9 còn trải dài trên các phần mềm Windows, Windows Media Audio Decoder, Windows Text Service Module, Windows Camera Codec Pack, Visual Studio, Scripting Engine, Microsoft COM cho Windows, Microsoft Browser, và Graphics Device Interface.



Các lỗ hổng bị đánh giá là nghiêm trọng xuất hiện trên Windows, Active Directory, Active Directory Federation Services (ADFS), Internet Explorer Browser Helper, Jet Database Engine, ASP.NET Core, Dynamics 365, Excel, Graphics Component, Office, Office SharePoint, SharePoint Server, SharePoint, Word, OneDrive for Windows, Scripting Engine, Visual Studio, Win32k, Windows Defender Application Control, Windows DNS, v.v.



Hầu hết các lỗ hổng này đều dẫn đến rò rỉ thông tin, leo thang đặc quyền và tấn công cross-site scripting ( XSS ). Một số lỗi trong đó cũng dẫn đến các cuộc tấn công thực thi mã từ xa. Ngược lại, một vài lỗ hổng khác cho phép các cuộc tấn công vượt qua tính năng bảo mật (security feature bypass), tấn công giả mạo và từ chối dịch vụ.



Người dùng Windows và các quản trị viên hệ thống được khuyến cáo nên nhanh chóng áp dụng các bản vá bảo mật mới nhất để ngăn chặn nguy cơ tội phạm mạng và tin tặc chiếm quyền kiểm soát máy tính và thực hiện những hành vi độc hại.



Để cài đặt các bản cập nhật mới nhất, người dùng có thể chọn ‘Cài đặt → Cập nhật & Bảo mật → Cập nhật Windows → Kiểm tra các bản cập nhật trên máy tính của bạn’ (Settings → Update & Security → Windows Update → Check for updates on your computer) hoặc có thể cài đặt các bản cập nhật theo cách thủ công.



Theo  The Hacker News
The post Microsoft phát hành bản vá bảo mật Patch Tuesday cho 129 lỗ hổng appeared first on SecurityDaily .