Microsoft

Trung tuần tháng 6, Microsoft đã phát hành 69 bản vá cho các lỗ hổng bảo mật trong các sản phẩm Microsoft Window và Microsoft Component; Office và Office Component; SharePoint Server; Microsoft Edge; .NET and Visual Studio; Microsoft Teams; Azure DevOps; Remote Desktop Client và Microsoft Dynamics.

Đáng chú ý trong bản vá lần này có 3 lỗ hổng nghiêm trọng cùng được đánh giá điểm CVSS 9.8 với mã định danh lần lượt là CVE-2023-29363, CVE-2023-32014 và CVE-2023-32015. Các lỗ hổng này cho phép tin tặc có thể thực thi mã từ xa, không cần xác thực trên một hệ thống có dịch vụ message queuing đang chạy trong môi trường máy chủ Pragmatic General Multicast (PGM). Tuy nhiên, do PGM không phải là một thiết lập phổ biến và nó cũng không được kích hoạt mặc định nên 3 lỗ hổng này được báo cáo là chưa bị khai thác tại thời điểm phát hành bản vá.

Một lỗ hổng bảo mật cũng được đánh giá điểm CVSS 9.8 khác cũng được vá trong bản cập nhật lần này có mã định danh CVE-2023-29375. Lỗ hổng này nằm trong chuỗi lỗ hổng bảo mật được đưa ra từ tháng 3 tại chương trình Pwn2Own Vancouver. Lỗ hổng này cho phép tin tặc bỏ qua xác thực của hệ thống trong phương thức ValidateTokenIssuer. Microsoft đã khuyến cáo người dùng nên bật chức năng AMSI để hạn chế lỗ hổng này nhưng không có kiểm thử nào xác nhận hiệu quả của hành động này. Vì vậy, cách tốt nhất là người dùng hãy kiểm tra và cập nhật bản vá này.

Lỗ hổng nâng cao đặc quyền trong Microsoft SharePoint định danh CVE-2023-29357 có thể cho phép tin tặc chiếm đặc quyền của người dùng khác, bao gồm cả quản trị viên. Lỗ hổng được phát hiện bởi nhà nghiên cứu Jang (Nguyễn Tiến Giang) của StarLabs SG.

Một lỗ hổng trên Microsoft Exchange Server cho phép tin tặc thực thi mã từ xa định danh CVE-2023-32031 cho phép  tin tặc có thể kích hoạt mã độc trong ngữ cảnh của tài khoản máy chủ thông qua một cuộc gọi mạng.

Lỗ hổng Type Confusion trong V8 định danh CVE-2023-3079 có thể dẫn đến việc thực thi mã ở cấp độ của người dùng đã đăng nhập. Lỗ hổng này được các nhà nghiên cứu của Chrome phát hiện vào ngày 1/6 và bị khai thác tích cực trong các cuộc tấn công bằng mã độc.

Microsoft cũng đã phát hành nhiều bản cập nhật Microsoft Office cho các lỗ hổng khác cho phép tin tặc sử dụng các tài liệu Excel và OneNote độc hại được tạo đặc biệt để thực thi mã từ xa. Các lỗ hổng này được theo dõi là CVE-2023-33133 (Excel),  CVE-2023-33137 (Excel), CVE-2023-33140 (OneNote), CVE-2023-33131 (Outlook). Các lỗ hổng OneNote và Outlook yêu cầu người dùng nhấp vào liên kết trong tệp hoặc email độc hại.

Adobe

Cũng trong tháng 6, Adobe phát hành bản vá cho 18 lỗ hổng bảo mật trong các sản phẩm: Adobe Commerce, Substance 3D Designer, Adobe Animate, và Experience Manager. Trong đó, có  4 lỗ hổng xếp hạng nghiêm trọng, 8 lỗ hổng quan trọng và 6 lỗ hổng xếp hạng trung bình. Không có lỗ hổng nào được liệt kê là đã được biết đến công khai hoặc đang bị khai thác công khai tạo thời điểm phát hành bản vá.

Trong bản vá lần này, hầu hết các lỗ hổng xếp hạng nghiêm trọng và quan trọng là những lỗ hổng cho phép thực thi mã tùy ý nếu người dùng mở một tệp tin PDF được chế tạo đặc biệt trên hệ thống bị ảnh hưởng. Điển hình như lỗ hổng có mã định danh CVE-2023-21618 trên sản phẩm Adobe Substance 3D Designer phiên bản 12.4.1 trở về trước, khi người dùng vô ý mở một tệp độc hại, tin tặc có thể thực thi mã tùy ý ở quyền của người dùng hiện tại.

SAP

Ở một động thái khác, SAP đã phát hành bản vá cho 12 lỗ hổng đang bị tích cực khai thác. Trong đó, có 4 lỗ hổng xếp hạng nghiêm trọng, 7 lỗ hổng quan trọng và 1 lỗ hổng xếp hạng trung bình. Lỗ hổng bảo mật nghiêm trọng có điểm CVSS cao nhất 8.8 được vá lần này định danh CVE-2021-42063. Lỗ hổng này cho phép tin tặc có thể đưa một đoạn script chứa mã độc vào một trang web đang được xem bởi người dùng. Nếu khai thác thành công, tin tặc có thể đánh cắp được các thông tin nhạy cảm như thông tin đăng nhập hoặc các thông tin cá nhân của người dùng. SAP khuyến cáo người dùng cập nhật bản vá nhanh nhất có thể để phòng tránh rủi ro đáng tiếc.