TamcauchuY
Rìu Chiến Chấm
Ngày 12/10/22
Bản cập nhật hôm thứ ba của Microsoft cho tháng 10 đã giải quyết tổng cộng 85 lỗ hổng bảo mật, bao gồm các bản sửa lỗi cho lỗ hổng zero-day bị khai thác một cách triệt để hiện nay.
Trong số 85 lỗi, 15 lỗi được đánh giá là nghiêm trọng, 69 lỗi được đánh giá là quan trọng và một lỗi được xếp hạng trung bình. Tuy nhiên, bản cập nhật không bao gồm các biện pháp giảm thiểu các lỗi ProxyNotShell vốn đang bị khai thác tích cực đối với dòng máy chủ Exchange Server.
Các bản vá đi kèm với các bản cập nhật để giải quyết 12 lỗi khác trong trình duyệt Edge dựa trên Chromium đã được phát hành từ đầu tháng.
Đứng đầu danh sách các bản vá của tháng này là lỗi với mã nhận dạng CVE-2022-41033 (điểm CVSS: 7,8), một lỗ hổng bảo mật trong Windows COM + Event System Service. Một nhà nghiên cứu ẩn danh đã được ghi nhận công lao vì đã báo cáo vấn đề này.
"Kẻ tấn công khai thác thành công lỗ hổng này có thể đạt được các đặc quyền của hệ thống", công ty cho biết trong một lời khuyên, cảnh báo rằng thiếu sót đang được vũ khí hóa một cách tích cực trong các cuộc tấn công hiện nay. Bản chất của lỗ hổng này cũng có nghĩa là nó có thể được liên kết với các lỗ hổng khác để nâng cao đặc quyền và thực hiện các hành động độc hại trên máy chủ bị nhiễm. Kev Breen, giám đốc nghiên cứu mối đe dọa mạng tại Immersive Labs, cho biết: “Lỗ hổng cụ thể này là sự leo thang đặc quyền cục bộ, có nghĩa là kẻ tấn công sẽ cần phải thực thi mã trên máy chủ để sử dụng khai thác này”.
Ba lỗ hổng đặc quyền nâng cao khác cần lưu ý liên quan đến Windows Hyper-V (CVE-2022-37979, điểm CVSS: 7,8), Dịch vụ chứng chỉ Active Directory (CVE-2022-37976, điểm CVSS: 8,8) và Kubernetes hỗ trợ Azure Arc cluster Connect (CVE-2022-37968, điểm CVSS: 10,0).
Mặc dù "ít có khả năng xảy ra" đối với lỗi có mã nhận CVE-2022-37968, Microsoft lưu ý rằng việc khai thác thành công lỗ hổng có thể cho phép "người dùng chưa được xác thực nâng cao đặc quyền của họ với tư cách là quản trị viên cụm và có khả năng giành quyền kiểm soát đối với cụm Kubernetes."
Đối với những lỗi khác, CVE-2022-41043 (điểm CVSS: 3,3) - lỗ hổng tiết lộ thông tin trong Microsoft Office - được liệt kê là đã được biết đến rộng rãi tại thời điểm phát hành. Microsoft cho biết nó có thể bị khai thác để làm rò rỉ mã thông báo của người dùng và các thông tin nhạy cảm khác.
Cũng được Redmond khắc phục là 8 lỗi leo thang đặc quyền trong nhân Windows, 11 lỗi thực thi mã từ xa trong giao thức đường hầm điểm-điểm của Windows và máy chủ SharePoint, và một lỗ hổng đặc quyền khác trong mô-đun Print Spooler (CVE-2022-38028, Điểm CVSS: 7.8).
Cuối cùng, bản cập nhật hôm thứ ba còn giải quyết thêm hai lỗi leo thang đặc quyền trong Windows Workstation Service (CVE-2022-38034, điểm CVSS: 4,3) và Server Service Remote Protocol (CVE-2022-38045, điểm CVSS: 8,8).
Công ty bảo mật web Akamai, đã phát hiện ra hai thiếu sót, cho biết họ "lợi dụng một lỗ hổng thiết kế cho phép bỏ qua lệnh gọi lại bảo mật [Microsoft Remote Procedure Call] thông qua bộ nhớ đệm."
Bản vá phần mềm từ các nhà cung cấp khác
Ngoài Microsoft, các bản cập nhật bảo mật cũng đã được một số nhà cung cấp phần mềm phát hành để khắc phục hàng chục lỗ hổng, bao gồm -
Nguồn: httpssss://thehackernews.com/2022/10/microsoft-patch-tuesday-fixes-new.html
Bản cập nhật hôm thứ ba của Microsoft cho tháng 10 đã giải quyết tổng cộng 85 lỗ hổng bảo mật, bao gồm các bản sửa lỗi cho lỗ hổng zero-day bị khai thác một cách triệt để hiện nay.
Trong số 85 lỗi, 15 lỗi được đánh giá là nghiêm trọng, 69 lỗi được đánh giá là quan trọng và một lỗi được xếp hạng trung bình. Tuy nhiên, bản cập nhật không bao gồm các biện pháp giảm thiểu các lỗi ProxyNotShell vốn đang bị khai thác tích cực đối với dòng máy chủ Exchange Server.
Các bản vá đi kèm với các bản cập nhật để giải quyết 12 lỗi khác trong trình duyệt Edge dựa trên Chromium đã được phát hành từ đầu tháng.
Đứng đầu danh sách các bản vá của tháng này là lỗi với mã nhận dạng CVE-2022-41033 (điểm CVSS: 7,8), một lỗ hổng bảo mật trong Windows COM + Event System Service. Một nhà nghiên cứu ẩn danh đã được ghi nhận công lao vì đã báo cáo vấn đề này.
"Kẻ tấn công khai thác thành công lỗ hổng này có thể đạt được các đặc quyền của hệ thống", công ty cho biết trong một lời khuyên, cảnh báo rằng thiếu sót đang được vũ khí hóa một cách tích cực trong các cuộc tấn công hiện nay. Bản chất của lỗ hổng này cũng có nghĩa là nó có thể được liên kết với các lỗ hổng khác để nâng cao đặc quyền và thực hiện các hành động độc hại trên máy chủ bị nhiễm. Kev Breen, giám đốc nghiên cứu mối đe dọa mạng tại Immersive Labs, cho biết: “Lỗ hổng cụ thể này là sự leo thang đặc quyền cục bộ, có nghĩa là kẻ tấn công sẽ cần phải thực thi mã trên máy chủ để sử dụng khai thác này”.
Ba lỗ hổng đặc quyền nâng cao khác cần lưu ý liên quan đến Windows Hyper-V (CVE-2022-37979, điểm CVSS: 7,8), Dịch vụ chứng chỉ Active Directory (CVE-2022-37976, điểm CVSS: 8,8) và Kubernetes hỗ trợ Azure Arc cluster Connect (CVE-2022-37968, điểm CVSS: 10,0).
Mặc dù "ít có khả năng xảy ra" đối với lỗi có mã nhận CVE-2022-37968, Microsoft lưu ý rằng việc khai thác thành công lỗ hổng có thể cho phép "người dùng chưa được xác thực nâng cao đặc quyền của họ với tư cách là quản trị viên cụm và có khả năng giành quyền kiểm soát đối với cụm Kubernetes."
Đối với những lỗi khác, CVE-2022-41043 (điểm CVSS: 3,3) - lỗ hổng tiết lộ thông tin trong Microsoft Office - được liệt kê là đã được biết đến rộng rãi tại thời điểm phát hành. Microsoft cho biết nó có thể bị khai thác để làm rò rỉ mã thông báo của người dùng và các thông tin nhạy cảm khác.
Cũng được Redmond khắc phục là 8 lỗi leo thang đặc quyền trong nhân Windows, 11 lỗi thực thi mã từ xa trong giao thức đường hầm điểm-điểm của Windows và máy chủ SharePoint, và một lỗ hổng đặc quyền khác trong mô-đun Print Spooler (CVE-2022-38028, Điểm CVSS: 7.8).
Cuối cùng, bản cập nhật hôm thứ ba còn giải quyết thêm hai lỗi leo thang đặc quyền trong Windows Workstation Service (CVE-2022-38034, điểm CVSS: 4,3) và Server Service Remote Protocol (CVE-2022-38045, điểm CVSS: 8,8).
Công ty bảo mật web Akamai, đã phát hiện ra hai thiếu sót, cho biết họ "lợi dụng một lỗ hổng thiết kế cho phép bỏ qua lệnh gọi lại bảo mật [Microsoft Remote Procedure Call] thông qua bộ nhớ đệm."
Bản vá phần mềm từ các nhà cung cấp khác
Ngoài Microsoft, các bản cập nhật bảo mật cũng đã được một số nhà cung cấp phần mềm phát hành để khắc phục hàng chục lỗ hổng, bao gồm -
- Adobe
- Android
- Apache Projects
- Apple
- Cisco
- Citrix
- CODESYS
- Dell
- F5
- Fortinet (including an actively exploited flaw)
- GitLab
- Google Chrome
- IBM
- Lenovo
- Linux distributions Debian, Oracle Linux, Red Hat, SUSE, and Ubuntu
- MediaTek
- NVIDIA
- Qualcomm
- Samba
- SAP
- Schneider Electric
- Siemens
- Trend Micro, and
- VMware
Nguồn: httpssss://thehackernews.com/2022/10/microsoft-patch-tuesday-fixes-new.html
Sửa lần cuối:
