Tập đoàn Microsoft hôm nay đã phát hành bản cập nhật phần mềm để vá hơn 70 lỗ hổng bảo mật trong Windows hệ điều hành và các sản phẩm liên quan, bao gồm nhiều lỗ hổng zero-day hiện đang được khai thác ngoài thực tế.

Sáu trong số các lỗ hổng được khắc phục hôm nay đã nhận được xếp hạng “nghiêm trọng” của Microsoft, nghĩa là phần mềm độc hại hoặc kẻ xấu có thể sử dụng chúng để cài đặt phần mềm trên hệ thống Windows dễ bị tấn công mà không cần bất kỳ sự trợ giúp nào từ người dùng.

Tháng trước, Microsoft đã thừa nhận một loạt lỗ hổng zero-day trong nhiều sản phẩm của Microsoft đã được phát hiện và khai thác trong các cuộc tấn công tự nhiên. Họ đã được chỉ định một ký hiệu giữ chỗ duy nhất của CVE-2023-36884.

Satnam Narang, kỹ sư nghiên cứu nhân viên cấp cao tại Tenable, cho biết các địa chỉ lô bản vá tháng XNUMX CVE-2023-36884, bao gồm việc bỏ qua Bảo mật tìm kiếm Windows tính năng này.

Narang cho biết: “Microsoft cũng đã phát hành ADV230003, một bản cập nhật chuyên sâu về phòng thủ được thiết kế để ngăn chặn chuỗi tấn công liên quan đến việc khai thác CVE này. “Cho rằng điều này đã bị khai thác thành công ngoài tự nhiên dưới dạng lỗ hổng zero-day, các tổ chức nên ưu tiên vá lỗ hổng này và áp dụng bản cập nhật chuyên sâu về phòng thủ càng sớm càng tốt.”

Redmond đã vá một lỗ hổng khác đang bị tấn công tích cực — CVE-2023-38180 - một điểm yếu trong NET. và Visual Studio dẫn đến tình trạng từ chối dịch vụ trên các máy chủ dễ bị tấn công.

“Mặc dù kẻ tấn công cần phải ở trên cùng một mạng với hệ thống đích, nhưng lỗ hổng này không yêu cầu kẻ tấn công phải có được đặc quyền của người dùng,” trên hệ thống đích viết Nikolas Cemeriki, kỹ sư an ninh mạng tại Immersive Labs.

Narang cho biết gã khổng lồ phần mềm cũng đã vá sáu lỗ hổng trong Microsoft Exchange Server, Bao gồm cả CVE-2023-21709, một lỗ hổng nâng cao đặc quyền được gán cho điểm CVSSv3 (mối đe dọa) là 9.8 trên thang điểm 10 có thể, mặc dù Microsoft đánh giá đây là một lỗ hổng quan trọng, không nghiêm trọng.

Narang cho biết: “Kẻ tấn công không được xác thực có thể khai thác lỗ hổng này bằng cách thực hiện một cuộc tấn công vũ phu đối với các tài khoản người dùng hợp lệ. “Mặc dù được đánh giá cao, người ta vẫn tin rằng các cuộc tấn công brute-force sẽ không thành công đối với các tài khoản có mật khẩu mạnh. Tuy nhiên, nếu mật khẩu yếu đang được sử dụng, điều này sẽ khiến các nỗ lực vũ phu thành công hơn. Năm lỗ hổng còn lại bao gồm lỗ hổng giả mạo và nhiều lỗi thực thi mã từ xa, mặc dù lỗi nghiêm trọng nhất cũng yêu cầu thông tin đăng nhập cho một tài khoản hợp lệ.”

Các chuyên gia tại công ty bảo mật Tự động gọi là chú ý đến CVE-2023-36910, một lỗi thực thi mã từ xa trong dịch vụ Xếp hàng thư của Microsoft có thể bị khai thác từ xa và không có đặc quyền để thực thi mã trên các hệ thống Windows 10, 11 và Server 2008-2022 dễ bị tấn công. Microsoft cho biết họ coi lỗ hổng này “ít có khả năng” bị khai thác và Automox cho biết mặc dù dịch vụ xếp hàng tin nhắn không được bật theo mặc định trong Windows và ngày nay ít phổ biến hơn, nhưng bất kỳ thiết bị nào được bật dịch vụ này đều có nguy cơ nghiêm trọng.

Riêng biệt, Adobe có vấn đề một bản cập nhật bảo mật quan trọng cho Acrobat và Reader giải quyết ít nhất 30 lỗ hổng bảo mật trong các sản phẩm đó. Adobe cho biết họ không biết về bất kỳ hoạt động khai thác nào nhắm mục tiêu vào những lỗ hổng này. Công ty cũng đã phát hành các bản cập nhật bảo mật cho Thương mại Adobe và Thứ nguyên Adobe.

Nếu bạn gặp trục trặc hoặc sự cố khi cài đặt bất kỳ bản vá nào trong số này trong tháng này, vui lòng xem xét để lại nhận xét về nó bên dưới; rất có thể những độc giả khác cũng đã trải qua điều tương tự và có thể chia sẻ ở đây những lời khuyên hữu ích.

Đọc thêm:

-SANS Trung tâm Bão Internet niêm yết của từng lỗ hổng Microsoft được vá hôm nay, được lập chỉ mục theo mức độ nghiêm trọng và thành phần bị ảnh hưởng.

–HỏiWoody.com, theo dõi mọi sự cố đang phát triển liên quan đến tính khả dụng hoặc cài đặt của các bản cập nhật này.

• Phân phối nội dung và PR được hỗ trợ bởi SEO. Được khuếch đại ngay hôm nay.
• PlatoData.Network Vertical Generative Ai. Trao quyền cho chính mình. Truy cập Tại đây.
• PlatoAiStream. Thông minh Web3. Kiến thức khuếch đại. Truy cập Tại đây.
• Trung tâmESG. Ô tô / Xe điện, Than đá, công nghệ sạch, Năng lượng, Môi trường Hệ mặt trời, Quản lý chất thải. Truy cập Tại đây.
• PlatoSức khỏe. Tình báo thử nghiệm lâm sàng và công nghệ sinh học. Truy cập Tại đây.
• ChartPrime. Nâng cao trò chơi giao dịch của bạn với ChartPrime. Truy cập Tại đây.
• BlockOffsets. Hiện đại hóa quyền sở hữu bù đắp môi trường. Truy cập Tại đây.
• nguồn: https://krebsonsecurity.com/2023/08/microsoft-patch-tuesday-august-2023-edition/