Microsoft tung bản vá lỗi nghiêm trọng trong IE9 và Windows

Quản Trị Mạng - Hôm qua, Microsoft đã vá 34 lỗ hổng trong Windows, Internet Explorer (IE), Office và các phần mềm khác. Trong số đó, có 15 bản vá được hãng này đánh giá là “nghiêm trọng”.

Một chuyên gia cho rằng, càng có nhiều bản cập nhật – cũng như việc Microsoft cung cấp chúng chậm hơn 2h – sẽ tạo áp lực cho các nhà quản lý.

Wolfgang Kandek, Giám đốc công nghệ của hãng bảo mật Qualys nói: “Chắc chắn rằng các IT administrator sẽ phải lựa chọn và quyết định nên hành động như thế nào, ở đâu trước tiên”.

Trong số 16 bản cập nhật, Microsoft gọi là bulletin, 9 bản được gắn là nghiêm trọng, mức đánh giá cao nhất trong hệ thống tính điểm của hãng này. Trong khi đó, 7 bản vá còn lại được đánh giá là “quan trọng”, mức nguy hiểm thứ 2.

Mặc dù số lượng bản vá được cung cấp ngày hôm qua ít hơn so với kỷ lục 64 bản vá được Microsoft vá trong tháng 4, nhưng nó vẫn là mức cao thứ 2 trong năm nay. Con số 16 bulletin cũng là một kỷ lục.

15 trong tổng số 34 lỗ hổng được đánh giá là nghiêm trọng, 17 lỗ hổng được xếp hạng quan trọng còn 2 lỗ còn lại được đánh giá là trung bình.

Microsoft đã “nhặt” ra 4 trong số 16 bản cập nhật để highlight và thuyết phục người dùng triển khai ngay 4 bản vá này càng sớm càng tốt.

Jerry Bryant, nhà quản lý cao cấp của trung tâm Microsoft Security Response Center (MSRC), đã nói trong một cuộc phỏng vấn ngày hôm qua: “Chúng tôi đặt trọng tâm vào 4 bản vá MS11-050, MS11-052, MS11-043 và MS11-042". Ông đã liệt kê 4 bản vá này theo thứ tự được ưu tiên.

Trong số các bulletin cần được triển khai ngay lập tức, MS11-050 cung cấp 11 bản vá cho IE mà Microsoft cùng các chuyên gia đã đánh giá chúng rất cao trong danh sách.

Andrew Storms, Giám đốc điều hành bảo mật của nCircle Security, đã nói: “Bản vá này đứng đầu danh sách khi Microsoft vá IE. Tuy nhiên, đây cũng là bản cập nhật cho IE9 và chúng ta có thể nhìn thấy sự thật là Microsoft đã có lỗi này ở ngay thời điểm họ cho ra mắt IE9 hoặc chậm hơn vài ngày”.

Storms đã ám chỉ tới quá trình kiểm tra của Microsoft, thường sẽ kết thúc trong khoảng 2 tháng hoặc hơn. Khoảng thời gian này có thể đã không kịp để bản vá cho IE9 “xuất hiện” trong tháng 4, bản cập nhật đầu tiên dự định sẽ được đưa ra sau khi trình duyệt này ra mắt.

Microsoft có thoi quen vá IE trong những tháng chẵn; lần gần đây nhất họ đưa ra một bản cập nhật bảo mật cho trình duyệt của mình là tháng 4, giúp vá 5 lỗ hổng. Tuy nhiên, bản vá lần này là bản cập nhật đầu tiên dành cho IE9, trình duyệt web họ đã cho ra mắt vào giữa tháng 3. Theo Microsoft, 4 trong số 11 bản vá trong MS11-050 có ảnh hưởng tới IE9.

9 trong số 11 lỗ hổng trong IE mà Microsoft vá ngày hôm qua có thể bị tấn công với kiểu tấn công "drive-by" có yêu cầu người dùng chỉ việc truy cập vào một trang web có chứa mã độc.

MS11-052 cũng liên quan tới IE mặc dù Microsoft đã “dán nhãn” nó là một bản cập nhật cho Windows.

Bryant nói: “Lỗ hổng là ở bên trong Windows, nhưng hướng tấn công lại đến từ Internet Explorer. Tuy nhiên, IE9 lại không bị ảnh hưởng bởi bản cập nhật này. Nó được chú trọng trước khi IE9 được ra mắt”.

Chỉ có IE6, IE7 và IE8 có thể bị “lợi dụng” để khai thác lỗ hổng được vá bởi MS11-052, không phải là trình duyệt chính IE9.

MS11-043 và MS11-042 cũng được Bryant nhắc tới. Bản cập nhật đầu tiên, giúp vá một lỗi trong cách Windows nắm giữ giao thức SMB (server message block), có thể được sử dụng trong tấn công mà Bryant gọi là "browse-and-own".

Một dấu hiệu tốt, theo cả Bryant và Storms, là rất nhiều công ty đã chặn lưu lượng SMB outbound ngay ở firewall, giúp ngăn chặn việc khau thác lỗ hổng được vá trong MS11-043.

Storms nói: “Tôi cho rằng lỗ hổng này khó có thể bị khai thác trong thế giới thực”.

MS11-042 cập nhật DFS (distributed file service), được các nhân viên administrator sử dụng để nhóm các folder chia sẻ ở trên các server khác nhau, để vá 2 lỗ hổng – một nghiêm trọng, một quan trọng, trong Windows. Microsoft đã đánh giá lỗ hổng này là nghiêm trọng chỉ trên hệ điều hành Windows XP và Windows Server 2003.

Kandek cho rằng: "[MS11-042 và MS11-043] rất thú vị, nhưng tôi nghĩ rằng về mặt kỹ thuật, nó sẽ gây khó khăn nhiều hơn cho những kẻ tấn công”.

Thực tế, Kandek đánh giá MS11-045, bản cập nhật thứ 8 dành cho Excel, bảng tính có trong Microsoft Office trên Windows và Mac, là mức nguy hiểm thứ 2 trong bộ sưu tập ngày hôm qua, ngay sau bộ cập nhật dành cho IE là MS11-050/MS11-052.

Kandek nói: “Microsoft chỉ xếp hạng chúng là quan trọng bởi người dùng được yêu cầu để mở một file mà kẻ tấn công cung cấp. Tuy nhiên, chúng tôi tin tưởng rằng kẻ xấu có đủ kỹ năng và trình độ để tạo các file đủ hấp dẫn nhằm thu hút người dùng mở chúng”.

Ông nói thêm: “Nếu là một kẻ tấn công, đây chắc chắn là phương pháp tôi sẽ sử dụng bởi người dùng luôn có xu hướng tin tưởng các file Excel”.

Trong số 8 bản vá được vá trong cập nhật Excel, chỉ có một bản ảnh hưởng tới phiên bản mới nhất của Excel: Excel 2007 và Excel 2010 trên Windows; 2 bản ảnh hưởng tới Excel 2011 trên Mac.

Storm nói: “Hiển nhiên là phần mềm Office mới hơn thường tốt hơn và có độ bảo mật cao hơn”.

Microsoft còn cung cấp bản vá cho SQL Server, sản phẩm bảo mật Forefront 2010, .Net Framework và nền tảng Silverlight cũng như virtualization hypervisor có trong Windows Server 2008 và Server 2008 R2.

Bản cập nhật tháng 6 có thể download và cài đặt thông qua các dịch vụ Microsoft Update và Windows Update, cũng như thông qua Windows Server Update Services (WSUS).