Patch Tuesday tháng 01/2023 cho Windows, vá 1 lỗ hổng zero-day đang bị khai thác và 98 lỗ hổng khác

Bài viết này sẽ tổng hợp thông tin mới nhất về các bản vá Patch Tuesday của Microsoft. Mời các bạn cùng theo dõi.

Patch Tuesday tháng 01/2023

Thứ 3, ngày 10/01/2023, Microsoft đã tung ra bản vá Patch Tuesday tháng 01/2023 để khắc phục 1 lỗ hổng zero-day đang bị khai thác tích cực và tổng cộng 98 lỗ hổng khác trên hệ điều hành Windows.

Đây là bản và Patch Tuesday đầu tiên của năm 2023 và nó khắc phục tới 98 lỗ hổng, một con số khổng lồ, 11 trong số đó được xếp hạng "Nghiêm trọng".

Thường thì Microsoft xếp hạng một lỗ hổng là "Nghiêm trọng" khi nó cho phép hacker thực thi code từ xa, bỏ qua tính năng bảo mật hoặc leo thang đặc quyền.

Số lượng lỗ hổng theo từng loại được liệt kê ở bên dưới đây:

• 39 lỗ hổng leo thang đặc quyền
• 4 lỗ hổng bỏ qua khả năng bảo mật
• 33 lỗ hổng thực thi code từ xa
• 10 lỗ hổng tiết lộ thông tin
• 10 lỗ hổng từ chối dịch vụ
• 2 lỗ hổng giả mạo

Bản vá Patch Tuesday tháng này khắc phục 1 lỗ hổng zero-day đang bị khai thác tích cực và ngoài ra còn vá 1 lỗ hổng zero-day khác đã bị tiết lộ công khai.

Microsoft coi một lỗ hổng là zero-day nếu như nó đã bị tiết lộ công khai hoặc đang bị khai thác mà chưa có giải pháp khắc phục chính thức.

Lỗ hổng zero-day đang bị khai thác đã được vá là:

• CVE-2023-21674 - Windows Advanced Local Procedure Call (ALPC) Elevation of Privilege Vulnerability được phát hiện bởi các nhà nghiên cứu Jan Vojtěšek, Milánek và Przemek Gmerek của Avast. Microsoft cho biết đây là một lỗ hổng thoát Sandbox có thể dẫn tới tấn công leo thang đặc quyền. "Một hacker khai thác thành công lỗ hổng này có thể giành được đặc quyền mức Hệ thống", Microsoft tuyên bố. Hiện chưa rõ hacker sẽ làm thế nào để khai thác lỗ hổng này trong các cuộc tấn công.

Microsoft cũng cho biết rằng lỗ hổng CVE-2023-21549 - Windows SMB Witness Service Elevation of Privilege Vulnerability, được phát hiện bởi các chuyên gia của Akamai, đã bị tiết lộ công khai.

Tuy nhiên, nhà nghiên cứu bảo mật Stiv Kupchik của Akamai cho biết rằng họ đã tuân thủ đúng quy trình tiết lộ thông thường do vậy lỗ hổng trên không nên được phân loại là đã bị tiết lộ công khai.

Patch Tuesday tháng 12/2022

Trong bản cập nhật Patch Tuesday tháng 12/2022, Microsoft đã tung ra bản vá cho 2 lỗ hổng zero-day nghiêm trọng, bao gồm một lỗ hổng đang bị khai thác, và tổng cộng 49 lỗ hổng khác.

6 trong số 49 lỗ hổng vừa được vá được phân loại là "Nghiêm trọng" bởi chúng cho phép thực thi code thừ xa, một trong những loại lỗ hổng nguy hiểm nhất.

Số lượng lỗ hổng theo từng loại được liệt kê ở bên dưới đây:

• 19 lỗ hổng leo thang đặc quyền
• 2 lỗ hổng bỏ qua khả năng bảo mật
• 23 lỗ hổng thực thi code từ xa
• 3 lỗ hổng tiết lộ thông tin
• 3 lỗ hổng từ chối dịch vụ
• 1 lỗ hổng giả mạo

Danh sách trên chưa bao gồm 25 lỗ hổng trên Microsoft Edge đã được vá vào ngày 05/12.

Bản vá Patch Tuesday tháng 12/2022 khắc phục hai lỗ hổng zero-day, một trong số đó đang bị hacker tích cực khai thác còn một thì đã bị công bố công khai. Microsoft gọi một lỗ hổng là zero-day nếu nó được tiết lộ công khai hoặc bị khai thác tích cực mà chưa có sẵn bản vá chính thức.

Hai lỗ hổng zero-day vừa được vá là:

• CVE-2022-44698: Windows SmartScreen Security Feature Bypass Vulnerability được phát hiện bởi nhà nghiên cứu Will Dormann. "Kẻ tấn công có thể tạo một file độc hại để vượt qua các biện pháp bảo vệ Mark of the Web (MOTW), dẫn đến việc mất tính toàn vẹn và tính khả dụng của các tính năng bảo mật như Protected View trong Microsoft Office, vốn phụ thuộc vào việc gắn thẻ MOTW". Hacker có thể khai thác lỗ hổng này bằng cách tạo ra các file JavaScript độc hại độc lập được ký bằng chữ ký không đúng định dạng. Khi được ký theo cách này, nó sẽ khiến SmartCheck gặp lỗi và không hiển thị cảnh báo bảo mật MOTW, cho phép file độc hại tự động chạy và cài đặt mã độc. Hacker đã khai thác lỗ hổng này rất tích cực trong các chiến dịch phát tán mã độc, bao gồm cả chiến dịch phát tán trojan QBot và Magniber Ransomware.
• CVE-2022-44710: DirectX Graphics Kernel Elevation of Privilege Vulnerability được phát hiện bởi nhà nghiên cứu Luka Pribanić. Kẻ khai thác thành công lỗ hổng này có thể chiếm được các đặc quyền cấp hệ thống.

Patch Tuesday tháng 11/2022

Bản cập nhật Patch Tuesday tháng 11/2022 vừa được Microsoft phát hành để vá 6 lỗ hổng đang bị hacker khai thác và tổng cộng 68 lỗ hổng khác.

11 trong số 68 lỗ hổng được vá lần này được xếp hạng "Nghiêm trọng" khi chúng cho phép leo thang đặc quyền, giả mạo và thực thi code từ xa, một trong những loại lỗ hổng khó chịu nhất.

Số lượng lỗ hổng theo từng loại được liệt kê ở bên dưới đây:

• 27 lỗ hổng leo thang đặc quyền
• 4 lỗ hổng bỏ qua khả năng bảo mật
• 16 lỗ hổng thực thi code từ xa
• 11 lỗ hổng tiết lộ thông tin
• 6 lỗ hổng từ chối dịch vụ
• 3 lỗ hổng giả mạo

Danh sách trên chưa bao gồm  2 lỗ hổng OpenSSL được tiết lộ vào ngày 02/11.

Bản vá Patch Tuesday tháng này vá 6 lỗ hổng zero-day đang bị khai thác, trong số đó có 1 lỗ hổng đã bị tiết lộ công khai.

6 lỗ hổng zero-day đang bị khai thác được vá gồm:

• CVE-2022-41128: Windows Scripting Languages Remote Code Execution Vulnerability được phát hiện bởi Clément Lecigne của Google Threat Analysis Group. Lỗ hổng này yêu cầu người dùng sử dụng một phiên bản Windows bị ảnh hưởng truy cập một máy chủ độc hại. Kẻ tấn công có thể tạo ra một máy chủ hoặc trang web độc hại. Kẻ tấn công không có cách nào ép người dùng truy cập vào máy chủ độc hại nhưng chúng có thể lừa người dùng làm điều đó qua email lừa đảo hoặc dụ dỗ qua tin nhắn.
• CVE-2022-41091: Windows Mark of the Web Security Feature Bypass Vulnerability được phát hiện bởi Will Dormann. Kẻ tấn công có thể tạo ra một file độc hại vượt qua phỏng thủ của Mark of the Web (MOTW) dẫn tới việc mất tính toàn vẹn và khả dụng của các tính năng bảo mật như Protected View trong Microsoft Office, vốn dựa trên việc gắn thẻ MOTW.
• CVE-2022-41073: Windows Print Spooler Elevation of Privilege Vulnerability được phát hiện bởi Microsoft Threat Intelligence Center (MSTIC). Kẻ tấn công khai thác thành công lỗ hổng này có thể chiếm đặc quyền hệ thống.
• CVE-2022-41125: Windows CNG Key Isolation Service Elevation of Privilege Vulnerability được phát hiện bởi Microsoft Threat Intelligence Center (MSTIC) và Microsoft Security Response Center (MSRC). Kẻ tấn công khai thác thành công lỗ hổng này có thể chiếm đặc quyền hệ thống.
• CVE-2022-41040: Microsoft Exchange Server Elevation of Privilege Vulnerability được phát hiện bởi GTSC và tiết lộ thông qua sáng kiến Zero Dat. Đặc quyền mà kẻ tấn công chiếm đoạt được có thể chạy PowerShell trong ngữ cảnh của hệ thống.
• CVE-2022-41082: Microsoft Exchange Server Remote Code Execution Vulnerability được phát hiện bởi GTSC và tiết lộ thông qua sáng kiến Zero Dat. Kẻ tấn công khai thác lỗ hổng này có thể nhắm vào các tài khoản máy chủ để thực thi mã tùy ý hoặc từ xa. Dưới dạng một người dùng được xác thực, kẻ tấn công có thể thực thi code độc hại trong ngữ cảnh của tài khoản máy chủ qua các lệnh mạng lưới.

Patch Tuesday tháng 10/2022

Đến hẹn lại lên, bản cập nhật Patch Tuesday tháng 10/2022 vừa được Microsoft phát hành để khắc phục một lỗ hổng zero-day đang bị khai thác và 84 lỗ hổng khác.

13 trong số 84 lỗ hổng được vá trong bản cập nhật lần này được phân loại là "Nghiêm trọng - Critical" bởi chúng cho phép hacker thực hiện tấn công nâng cao đặc quyền, giả mạo hoặc thực thi code từ xa, một trong những loại lỗ hổng nghiêm trọng nhất.

Số lượng lỗ hổng theo từng loại được liệt kê ở bên dưới đây:

• 39 lỗ hổng leo thang đặc quyền
• 2 lỗ hổng bỏ qua khả năng bảo mật
• 20 lỗ hổng thực thi code từ xa
• 11 lỗ hổng tiết lộ thông tin
• 8 lỗ hổng từ chối dịch vụ
• 4 lỗ hổng giả mạo

Danh sách trên chưa bao gồm 12 lỗ hổng trên Microsoft Edge đã được vá vào ngày 03/10.

Bản vá Patch Tuesday tháng 10/2022 đã vá hai lỗ hổng zero-day, một lỗ hổng đang bị khai thác tích cực trong các cuộc tấn công và lỗ hổng còn lại đã được tiết lộ công khai.

Microsoft gọi một lỗ hổng là zero-day nếu nó được tiết lộ công khai hoặc bị khai thác tích cực mà chưa có sẵn bản vá chính thức.

Lỗ hổng zero-day đang bị khai thác tích cực vừa được vá có mã theo dõi CVE-2022-41033 và là một lỗ hổng leo thang đặc quyền, Windows COM + Event System Service Elevation of Privilege Vulnerability.

"Hacker khai thác thành công lỗ hổng này có thể chiếm được các đặc quyền của hệ thống", Microsoft cho biết. Một nhà nghiên cứu ẩn danh đã phát hiện và báo cáo lỗ hổng này cho Microsoft.

Lỗ hổng zero-day bị tiết lộ công khai có mã CVE-2022-41043 và là một lỗ hổng tiết lộ thông tin, Microsoft Office Information Disclosure Vulnerability. Nó được phát hiện bởi Cody Thomas của SpecterOps.

Microsoft cho biết kẻ tấn công có thể sử dụng lỗ hổng này để truy cập vào token xác thực của người dùng.

Không may là trong lần cập nhật Patch Tuesday này, Microsoft không có bản vá cho các lỗ hổng zero-day Microsoft Exchange là CVE-2022-41040 và CVE-2022-41082. Chúng còn được gọi là lỗ hổng ProxyNotShell.

Các lỗ hổng này đã được công bố vào cuối tháng 9 bởi cơ quan an ninh mạng Việt Nam GTSC, đơn vị đầu tiên phát hiện và báo cáo về các cuộc tấn công.

Các lỗ hổng đã được tiết lộ cho Microsoft thông qua Sáng kiến Zero Day của Trend Micro và dự kiến được vá trong bản Patch Tuesday tháng 10/2022. Tuy nhiên, Microsoft thông báo rằng bản vá vẫn chưa sẵn sàng.

Patch Tuesday tháng 9/2022

Microsoft vừa phát hành bản vá lỗi Patch Tuesday tháng 9/2022 để khắc phục lỗ hổng zero-day đang bị hacker khai thác và 63 vấn đề khác.

5 trong số 63 lỗ hổng được vá trong đợt này được xếp hạng là nghiêm trọng bởi chúng cho phép thực thi code từ xa, một trong những loại lỗ hổng đáng lưu tâm nhất.

Số lượng lỗ hổng theo từng loại được liệt kê ở dưới đây:

• 18 lỗ hổng leo thang đặc quyền
• 1 lỗ hổng bỏ qua khả năng bảo mật
• 30 lỗ hổng thực thi code từ xa
• 7 lỗ hổng tiết lộ thông tin
• 7 lỗ hổng từ chối dịch vụ
• 16 lỗ hổng liên quan tới  Edge - Chromium

Danh sách trên chưa bao gồm 16 lỗ hổng đã được vá trong Microsoft Edge trước khi phát hành Patch Tuesday.

Cũng giống như tháng trước, Patch Tuesday tháng này cũng vá 2 lỗ hổng zero-day và một trong số đó đang bị hacker khai thác trong các cuộc tấn công. Lỗ hổng đang bị khai thác được theo dõi dưới mã CVE-2022-37969 và là một lỗ hổng leo thang đặc quyền.

Theo Microsoft, nếu khai thác thành công CVE-2022-37969, hacker sẽ chiếm được các đặc quyền mức hệ thống. Lỗ hổng được phát hiện bởi các nhà nghiên cứu tại DBAPPSecurity, Mandiant, CrowdStrike và Zscaler.

Theo các nhà nghiên cứu, CVE-2022-37969 là một lỗ hổng đơn lẻ chứ không phải là một phần của bất kỳ chuỗi nguy cơ bảo mật nào.

Lỗ hổng zero-day còn lại được vá là CVE-2022-23960, được phát hiện bởi các nhà nghiên cứu bảo mật của VUSec.

Bên cạnh Microsoft, một loạt ông lớn khác như Adobe, Apple, Cisco, Google... cũng đã tung ra các bản cập nhật để vá lỗ hổng bảo mật.

Patch Tuesday tháng 8/2022

Bản cập nhật Patch Tuesday tháng 8/2022 vừa được Microsoft phát hành nhằm vá lỗ hổng zero-day DogWalk đang bị hacker khai thác và khắc phục tổng cộng 121 vấn đề khác.

17 trong số 121 vấn đề bảo mật được khắc phục trong đợt này được đánh giá là nghiêm trọng bởi chúng cho phép thực thi code từ xa hoặc leo thang đặc quyền.

Danh sách lỗ hổng thuộc từng danh mục được liệt kê dưới đây:

• 64 lỗ hổng leo thang đặc quyền
• 6 lỗ hổng bỏ qua tính năng bảo mật
• 31 lỗ hổng thực thi code từ xa (RCE)
• 12 lỗ hổng tiết lộ thông tin
• 7 lỗ hổng từ chối dịch vụ (DoS)
• 1 lỗ hổng spoofing

Số lỗ hổng trên chưa bao gồm 20 lỗ hổng được khắc phục trước đó trong Microsoft Edge.

Trong bản cập nhật Patch Tuesday tháng 8/2022, Microsoft vá hai lỗ hổng zero-day nghiêm trọng, một trong số đó đang bị khai thác trong các cuộc tấn công của hacker. 

Microsoft coi một lỗ hổng là zero-day nếu như nó bị tiết lộ công khai hoặc đang bị khai thác mà chưa có cách khắc phục chính thức.

Lỗ hổng đang bị khai thác được vá đợt này có biệt danh là "DogWalk" và được theo dõi dưới mã CVE-2022-34713. Tên chính thức của nó là Microsoft Windows Support Diagnostic Tool (MSDT) Remote Code Execution Vulnerability.

Nhà nghiên cứu bảo mật Imre Rad phát hiện ra lỗ hổng này từ tháng 01/2020 nhưng Micdrosoft từ chối tung ra bản vá bởi họ xác định rằng nó không phải là một lỗ hổng bảo mật.

Tuy nhiên, sau khi khám phá ra lỗ hổng Microsoft Office MSDT, nhà nghiên cứu một lần nữa báo cáo với Microsoft để DogWalk được vá. Cuối cùng thì Microsoft cũng chịu công nhận và tiến hành vá trong bản cập nhật Patch Tuesday lần này.

Một lỗ hổng zero-day khác được vá có mã CVE-2022-30134 - Microsoft Exchange Information Disclosure Vulnerability. Nó cho phép hacker đọc email của nạn nhân.

Microsoft cho biết CVE-2022-30134 được tiết lộ công khai nhưng chưa có dấu hiệu nào cho thấy nó bị khai thác.

Patch Tuesday tháng 9/2021

Microsoft vừa chính thức tung ra bản cập nhật bảo mật Patch Tuesday tháng 9/2021 để vá hai lỗ hổng zero-day và 60 lỗ hổng khác trên Windows bao gồm 3 nghiêm trọng, một trung bình và 56 quan trọng. Nếu tính cả lỗ hổng của Microsoft Edge thì tổng cộng bản cập nhật Patch Tuesday tháng này vá tới 86 lỗ hổng.

86 lỗ hổng được vá bao gồm:

• 27 lỗ hổng dẫn tới các cuộc tấn công leo thang đặc quyền
• 2 lỗ hổng vượt qua các tính năng bảo mật
• 16 lỗ hổng thực thi code từ xa
• 11 lỗ hổng rò rỉ thông tin
• 1 lỗ hổng từ chối dịch vụ (DoS)
• 8 lỗ hổng spoofing

Patch Tuesday vá hai lỗ hổng zero-day

Điểm đáng chú ý nhất của bản cập nhật Patch Tuesday tháng 9/2021 đó là nó đã cung cấp cách khắc phục hai lỗ hổng zero-day là CVE-2021-40444 (hay còn gọi là lỗ hổng MSHTML) và CVE-2021-36968. Trong đó, MSHTML đang bị hacker tích cực khai thác.

MSHTML được đánh giá là một lỗ hổng nghiêm trọng. Thậm chí mọi việc còn trở nên nghiêm trọng hơn khi gần đây hacker đã chia sẻ phương thức khai thác lỗ hổng này trên các diễn dàn hack. Dựa vào đó, bất kỳ hacker nào cũng có thể tự tạo ra một phương thức khai thác của riêng mình.

Chi tiết về lỗ hổng MSHTML bạn có thể tham khảo tại đây:

• Lỗ hổng zero-day đe dọa hàng triệu người dùng Windows bị chia sẻ trên diễn đàn hacker

Microsoft khuyến cáo người dùng nên cài đặt bản cập nhật Patch Tuesday tháng 9/2021 càng sớm càng tốt. Để cài đặt, bạn truy cập vào Settings > Windows Update sau đó nhấn nút Check Update và tiến hành cài đặt.

• Microsoft chính thức vá lỗi No Internet Access trong khi vẫn có mạng trên Windows 10 2004