Microsoft phát hành Patch Tuesday tháng 5 để giải quyết 38 lỗ hổng, bao gồm cả lỗi zero-day đã bị khai thác trong thực tế

Microsoft đã phát hành bản cập nhật Patch Tuesday tháng 5 năm 2023 để giải quyết 38 lỗ hổng bảo mật, bao gồm một lỗi zero-day đang bị tin tặc khai thác trong thực tế.

Zero Day Initiative (ZDI) của Trend Micro cho biết con số này là thấp nhất kể từ tháng 8 năm 2021, nhưng nó "dự kiến ​​sẽ tăng trong những tháng tới".

Trong số 38 lỗ hổng, 6 lỗ hổng được xếp ở mức nghiêm trọng và 32 lỗ hổng được xếp mức cao; tám trong số đó đã được Microsoft lưu ý là có "nhiều khả năng khai thác".

Bên cạnh đó, 18 lỗ hổng khác - bao gồm 11 lỗi được vá từ đầu tháng 5 - đã được Microsoft giải quyết trong trình duyệt Edge sau khi phát hành Patch Tuesday Tháng Tư.

Đứng đầu danh sách là CVE-2023-29336 (điểm CVSS: 7, 8), một lỗ hổng leo thang đặc quyền trong Win32k đã bị khai thác trong thực tế. Hiện chưa rõ phạm vi của các cuộc tấn công.

Microsoft cho biết "khai thác thành công lỗ hổng này có thể cho phép kẻ tấn công giành được các đặc quyền SYSTEM", đồng thời ghi nhận các nhà nghiên cứu Jan Vojtěšek, Milánek và Luigino Camastra của Avast đã báo cáo lỗ hổng.

Sự phát triển này khiến Cơ quan an ninh mạng của Mỹ (CISA) bổ sung lỗ hổng này vào danh mục Các lỗ hổng bị khai thác đã biết (KEV), đồng thời kêu gọi các tổ chức áp dụng các bản sửa lỗi của nhà cung cấp trước ngày 30 tháng 5 năm 2023.

Cũng cần lưu ý là có hai lỗ hổng đã được công khai rộng rãi, một trong số đó là lỗ hổng thực thi mã từ xa nghiêm trọng ảnh hưởng đến Windows OLE (CVE-2023-29325, điểm CVSS: 8.1) có thể được tin tặc khai thác bằng cách gửi email độc hại đến mục tiêu.

Như một biện pháp giảm thiểu, Microsoft khuyến nghị người dùng nên đọc email ở định dạng văn bản thuần túy để bảo vệ khỏi lỗ hổng này.

Lỗ hổng còn lại là CVE-2023-24932 (điểm CVSS: 6, 7), một lỗi bỏ qua tính năng bảo mật Secure Boot bị BlackLotus UEFI bootkit lạm dụng để khai thác CVE-2022-21894 (còn gọi là Baton Drop), đã được giải quyết vào tháng 1 năm 2022 .

Microsoft cho biết "lỗ hổng này cho phép kẻ tấn công thực thi mã tự ký tại Unified Extensible Firmware Interface (UEFI) trong khi Secure Boot được bật", "được các tác nhân đe dọa sử dụng chủ yếu để trốn tránh hệ thống phòng thủ”. Việc khai thác thành công phụ thuộc vào việc kẻ tấn công có quyền truy cập vật lý hoặc quyền quản trị viên cục bộ trên thiết bị bị nhắm mục tiêu."

Cần lưu ý rằng bản sửa lỗi do Microsoft cung cấp hiện bị tắt theo mặc định và yêu cầu khách hàng áp dụng các bước thủ công để triển khai biện pháp bảo vệ khỏi lỗ hổng.

Ngoài Microsoft, nhiều nhà cung cấp khác cũng đã phát hành các bản cập nhật bảo mật trong vài tuần qua để khắc phục các lỗ hổng trong sản phẩm của họ, bao gồm Adobe, Android, Apache Projects, Apple, Aruba Networks, Cisco, Citrix, Dell, Drupal, F5, Fortinet, GitLab, Google Chrome, HP, IBM, Intel, Juniper Networks, Lenovo, Các bên phân phối Linux: Debian, Oracle Linux, Red Hat, SUSE, và Ubuntu, Mozilla Firefox, Firefox ESR, và Thunderbird, Samsung, SolarWinds, VMware,...

Nguồn: thehackernews.com.