Microsoft

Trung tuần tháng 12, Microsoft đã phát hành bản vá cho 67 lỗ hổng bảo mật trong Microsoft Windows, Windows Components, ASP.NET Core, Visual Studio, Azure Bot Framework SDK, Internet Storage Name Service, Defender for IoT, Edge (dựa trên Chromium), Microsoft Office, Office Components, Máy chủ SharePoint, PowerShell, Remote Desktop Client, Windows Hyper-V, Quản lý thiết bị di động Windows, Trình quản lý kết nối truy cập từ xa Windows, TCP/IP và Windows Update Stack. Trong đó, có 7 lỗ hổng được đánh giá nghiêm trọng và 60 lỗ hổng được đánh giá quan trọng.

Một lỗ hổng quan trọng đang bị khai thác có định danh CVE-2021-43890. Đây là lỗ hổng giả mạo trình cài đặt Window AppX. Tin tặc có thể tạo một tệp đính kèm sau đó thuyết phục người dùng mở tệp đó ra để tải về các phần mềm độc hại Emotet, Trickbot, Bazaloader. Sau khi bị khai thác, lỗ hổng sẽ cấp cho kẻ tấn công các đặc quyền nâng cao, đặc biệt khi tài khoản của nạn nhân có đặc quyền quản trị trên hệ thống.

Adobe

Trong tháng 12, Adobe đã phát hành bản vá giải quyết 60 lỗ hổng trong Adobe Audition, Lightroom, Media Encoder, Premiere Pro, Prelude, Dimension, After Effects, Photoshop, Connect, Experience Manager và Premiere Rush. Trong đó, có 28 lỗ hổng nghiêm trọng, 12 lỗ hổng quan trọng và 20 lỗ hổng ở mức độ trung bình.

Một lỗ hổng nghiêm trọng liên quan đến phần mềm xử lý tài liệu XML có định danh CVE-2021-40722 có điểm CVSS:9.8. Việc khai thác thành công lỗ hổng này có thể giúp kẻ tấn công truy cập tuỳ ý vào các tệp trên hệ thống.

Google

Trong một động thái khác, Google đã phát hành bản vá cập nhật cho Google Chrome trên Windows, Linux và Mac. Bản vá lần này sửa chữa 05 lỗ hổng, trong đó có 01 lỗ hổng nghiêm trọng và 04 lỗ hổng quan trọng.

Một lỗ hổng zero-day đang bị khai thác có định danh CVE-2021-4102, đây là lỗ hổng use-after-free trong công cụ JavaScript Chrome V8. Kẻ tấn công thường khai thác các lỗ hổng use-after-free để thực thi mã tùy ý trên máy tính chạy phiên bản Chrome tồn tại lỗ hổng hoặc qua mặt cơ chế sandbox của trình duyệt.

Một lỗ hổng nghiêm trọng khác định danh CVE-2021-4098. Đây là lỗ hổng xác thực thiếu dữ liệu khi xử lý nội dung HTML trong Mojo (khung giao tiếp truyền thông điệp). Kẻ tấn công lừa nạn nhân mở một trang web được thiết kế đặc biệt và thực thi mã tùy ý trên hệ thống mục tiêu. Việc khai thác thành công lỗ hổng này có thể giúp kẻ tấn công xâm phạm hoàn toàn hệ thống của nạn nhân.