Bản vá lỗi cho 3 lỗi khai thác qua lỗ hổng Zero-day trong tự nhiên

Hai trong số các lỗ hổng bảo mật được báo cáo công khai tại thời điểm phát hành và 3 lỗi này đang được các tin tặc khai thác tích cực trong tự nhiên.

Một trong những lỗ hổng này được tiết lộ công khai và được khai thác dưới dạng zero-day, nằm trong Thư viện Trình quản lý Phông chữ Adobe được sử dụng bởi Windows, sự tồn tại của nó được Microsoft đã tiết lộ vào tháng trước (tháng mấy?) trong một cảnh báo bảo mật sớm cho hàng triệu người dùng.

Được theo dõi dưới dạng CVE-2020-1020, lỗ hổng thực thi mã từ xa tồn tại trong Microsoft Windows khi Thư viện Trình quản lý Adobe Type (Windows Adobe Type Manager Library) xử lý không đúng một phông chữ đa chủ được chế tạo đặc biệt - Adobe Type 1 PostScript.

Thư viện phông chữ bị ảnh hưởng không chỉ phân tích nội dung khi mở bằng phần mềm của bên thứ 3 mà còn được Windows Explorer sử dụng để hiển thị nội dung của tệp trong Preview Pane  hoặc Details Pane mà không cần người dùng để mở nó.

Lỗ hổng thực thi mã từ xa thứ hai (xem lại lỗ hổng thứ nhất đâu?) được khai thác tự nhiên (CVE-2020-0938) cũng nằm trong Thư viện Trình quản lý Adobe Type kích hoạt khi phân tích phông chữ OpenType độc ​​hại.

Cả hai lỗ hổng zero-day này đã được báo cáo cho Microsoft trong tuần cuối tháng 3 bởi các nhà nghiên cứu làm việc với Google Project Zero, nhưng với thời hạn công bố đầy đủ rất ngắn, sau đó sẽ mở rộng xem xét tình hình toàn cầu hiện tại. (xem lại câu này)

Lỗ hổng Zero-day thứ 3 (để số hay chữ) chính là sự gia tăng của lỗ hổng đặc quyền (CVE-2020-1027) trong nhân Windows, được phát hiện bởi nhóm Google Project Zero, tác động đến tất cả các phiên bản được hỗ trợ của hệ điều hành Windows, bao gồm các phiên bản Windows 10, 8.1 và Server 2008, 2012, 2016 và 2019, cũng như Windows 7 mà Microsoft đã kết thúc hỗ trợ của nó vào tháng 1 năm 2020.

Các lỗi mới khác Microsoft đã vá trong tháng này (tháng này là tháng nào? đặt lại tit phụ)

Vấn đề thứ hai (vấn đề thứ nhất đâu??) được biết đến công khai, không được khai thác ngoài tự nhiên, là một mức độ quan trọng của lỗ hổng đặc quyền (CVE-2020-0935 ) nằm trong máy tính để bàn OneDrive cho Windows.

Bản cập nhật mới nhất cũng bao gồm các bản vá cho 5 lỗi nghiêm trọng ảnh hưởng đến Microsoft Office SharePoint, 4 lỗi tồn tại do phần mềm không kiểm tra đánh dấu nguồn của gói ứng dụng, cho phép kẻ tấn công từ xa thực thi mã tùy ý trên các máy bị ảnh hưởng.

Trong khi đó, lỗ hổng SharePoint thứ 5 là vấn đề kịch bản chéo trang (XSS) (CVE-2020-0927 ) có thể bị kẻ tấn công xác thực khai thác bằng cách gửi yêu cầu được tạo đặc biệt đến máy chủ SharePoint bị ảnh hưởng.

Có một lỗ hổng đáng chú ý khác, được theo dõi là  CVE-2020-0910  và được đánh giá nghiêm trọng, ảnh hưởng đến Windows Hyper-V, cho phép một máy ảo khách thỏa hiệp với trình ảo hóa, thoát khỏi máy ảo khách đến máy chủ hoặc thoát khỏi một máy ảo khách đến một máy ảo khách khác.

Bên cạnh đó, các lỗi nghiêm trọng khác mà Microsoft đã vá trong tháng này ảnh hưởng đến công cụ tạo kịch bản Chakra, Microsoft Dynamics 365 Business Central, nền tảng phương tiện, thành phần đồ họa, thư viện codec và VBScript, tất cả đều dẫn đến các cuộc tấn công thực thi mã từ xa.

Người dùng Windows và quản trị viên hệ thống được khuyến nghị áp dụng các bản vá bảo mật mới nhất càng sớm càng tốt trong nỗ lực ngăn chặn tội phạm mạng và tin tặc tránh khỏi việc kiểm soát máy tính của họ.

Để cài đặt các bản cập nhật bảo mật Windows mới nhất, bạn có thể vào Cài đặt → Cập nhật & Bảo mật → Cập nhật Windows → Kiểm tra các bản cập nhật trên PC của bạn hoặc bạn có thể cài đặt các bản cập nhật theo cách thủ công.