Microsoft

Trong bản cập nhật tháng 2, Microsoft đã vá 56 lỗ hổng bảo mật cho hệ điều hành Microsoft Windows và các sản phẩm khác của Microsoft như: .NET Framework, Azure IoT, Azure Kubernetes Service, Microsoft Edge for Android, Exchange Server, Microsoft Office và Microsoft Office Services cùng Web Apps, Skype for Business và Lync, và Windows Defender. Trong đó có 11 lỗ hổng được đánh giá nghiêm trọng, 43 lỗ hổng ở mức độ quan trọng và 2 lỗ hổng ở mức độ trung bình.

Đáng lưu ý là lỗ hổng với định danh CVE-2021-1732 cho phép leo thang đặc quyền tồn tại trong thành phần Windows Win32k, lỗ hổng này đã được Microsoft xác nhận là đang được sử dụng kết hợp với các lỗ hổng RCE khác để tấn công vào các máy tính chạy hệ điều hành Windows. Ngoài ra, còn có lỗ hổng đặc biệt nghiêm trọng khác cho phép thực thi mã từ xa với số điểm CVSS 9.8, đây là các lỗ hổng liên quan đến giao thức TCP/IP (CVE-2021-24074, CVE-2021-24094), lỗ hổng trên DNS Server (CVE-2021-24078) và lỗ hổng trên dịch vụ Windows Fax (CVE-2021-24077).

CVE-2021-26701 liên quan đến .Net Core là một Framework đa nền tảng (Windows, Linux, MacOS) dựa trên .Net Framework. Đây là lỗ hổng được đánh giá ở mức độ nghiêm trọng và đã được công khai. Khai thác thành công lỗ hổng này, kẻ tấn công có thể thực thi mã lệnh tuỳ ý dựa vào quyền của ứng dựng sử dụng .Net Core. Lỗ hổng này đặc biệt nguy hiểm khi kẻ tấn công sử dụng kết hợp với các lỗ hổng leo thang đặc quyền khác để thực thi mã với quyền cao nhất trên hệ thống.

Lỗ hổng định danh CVE-2021-1732 xảy ra khi thư viện Win32k xử lý sai các đối tượng trong bộ nhớ. Khai thác thành công lỗ hổng cho phép kẻ tấn công với quyền User có thể chiếm quyền hệ thống (NT AUTHORITY\SYSTEM). Các lỗ hổng EoP dạng này thường được dùng trong các cuộc tấn công APT, sau khi khai thác thành công lỗ hổng thực thi mã từ xa của các ứng dụng phổ biến như Microsoft Office, Adobe Reader, hay trình duyệt web (Chrome, Firefox, Edge) để nâng quyền cao nhất trên hệ thống.

Lỗ hổng định danh CVE-2021-24074 xảy ra khi hệ thống xử lý sai gói tin Source Routing trên giao thức IPv4, khai thác thành công lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực.

Lỗ hổng định danh CVE-2021-24094 xảy ra khi hệ thống xử lý sai các gói tin IPv6 bị phân mảnh, khai thác thành công lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa (RCE) mà không cần xác thực. Điều kiện để khai thác là kẻ tấn công cần nằm trong mạng nội bộ với hệ thống có cấu hình IPv6 Link-local.

Lỗ hổng định danh CVE-2021-24078 là một lỗ hổng nghiêm trọng, có điểm số CVSS 9.8 xảy ra khi hệ thống xử lý sai gói tin DNS. Khai thác thành công lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực. Tuy nhiên, lỗ hổng này chỉ xuất hiện khi máy chủ Windows được cấu hình với vai trò là DNS Server và kẻ tấn công có khả năng gửi gói tin DNS tới máy chủ.

Lỗ hổng bảo mật định danh CVE-2021-24077 xảy ra trong quá trình Windows xử lý các thông tin trên dịch vụ Fax. Khai thác thành công lỗ hổng cho phép kẻ tấn công có thể thực thi mã từ xa mà không cần xác thực, bằng cách gửi một bản Fax có chứa mã khai thác đến máy tính tồn tại lỗ hổng. Để khai thác thành công lỗ hổng này yêu cầu Windows phải bật tính năng Fax and Scan và dịch vụ Fax đang được thực thi trên hệ thống.

Adobe

Trong tháng 2/2021, Adobe phát hành bản vá cho 50 lỗ hổng trong Adobe Dreamweaver, Illustrator, Animate, Photoshop, Magento và Reader. Trong số này có 29 lỗ hổng nghiêm trọng, các lỗ hổng còn lại đều có mức độ quan trọng. Đáng lưu ý là lỗ hổng tràn bộ đệm dựa trên heap định danh CVE-2021-21017 đang bị khai thác trên sản phẩm Reader.

Mozilla

Hãng Mozilla đã phát hành bản cập nhập để khắc phục một lỗ hổng nghiêm trọng trong trình duyệt Firefox trên Window có định danh MOZ-2021-0001. Kẻ tấn công từ xa có thể đánh lừa người dùng truy cập một trang web độc hại nếu đang sử dụng một trình duyệt dễ bị tấn công. Việc khai thác thành công lỗ hổng có thể dẫn đến tràn bộ đệm trên hệ thống bị ảnh hưởng.