Microsoft ban hành "mảnh vá" cho hai lỗ hổng Windows

Nằm trong kế hoạch ban hành các "mảnh vá" (patch) hàng tháng, ngày 8/6, Microsoft đã cho công bố hai miếng vá sửa lỗi cho hai lỗ hổng mới nhất trong hệ điều hành Microsoft Windows.

Lỗ hổng ảnh hưởng tới hầu hết các ứng dụng kinh doanh được Microsoft liệt kê trong lần này chủ yếu xuất phát từ phần mềm của hãng đối tác Business Objects. Phần mềm này được phân phối cùng với một số sản phẩm của Microsoft bao gồm: Visual Studio .Net 2003, "Outlook 2003 with Business Contact Manager" (gồm cả bản Small Business và Professional Editions của Office 2003), và Business Solutions CRM 1.2. Trong đó, Visual Studio .Net 2003 và "Outlook 2003 with Business Contact Manager" gồm cả ứng dụng Crystal Report; và CRM 1.2 gồm cả Crystal Enterprise.

Theo thông báo của Microsoft, hai tiện ích "Crystal Reports" và "Crystal Enterprise" của Business Objects tồn tại một lỗ hổng, và nếu bị khai thác, sẽ cho phép tin tặc thực hiện các cuộc tấn công kiểu DoS (tấn công từ chối dịch vụ), hoặc nhận và xóa các file thông qua giao diện Web của những chương trình này.

Kẻ tấn công sẽ không cần phải phát tán mã khai thác (một khuynh hướng thường được sâu thực hiện) để lợi dụng lỗ hổng trên. Thay vào đó, bất cứ một người dùng định danh hay ẩn danh nào (có quyền truy cập tới Crystal Web trên hệ thống lây nhiễm) đều có thể khai thác lỗ hổng trên.

Lỗ hổng thứ hai được Microsoft đưa ra trong thông báo ngày 8/6 ảnh hưởng tới phiên bản Direct X (từ phiên bản 7.0 tới 9.0b). Các phiên bản DirectX là một phần của Windows 98, 98 Second Edition, ME, 2000, XP, Server 2003, và có thể bị tin tặc khai thác để thực hiện các cuộc tấn công DoS trên các hệ thống chơi game.

Mặc dù lỗ hổng thứ hai tác động tới nhiều hệ điều hành nhưng Microsoft chỉ xếp ở hạng "tương đối" (sau mức "quan trọng" và "nghiêm trọng"). Để khai thác thành công lỗ hổng trên, kẻ tấn công phải xác định được rằng hệ thống đích đang sử dụng DirectPlay, rồi sau đó thực hiện kết nối tới máy tính này và gửi các gói dữ liệu "độc hại".

Bản patch cho lỗ hổng thứ hai chỉ được áp dụng cho Windows 2000, Windows XP và Windows Server 2003 (bản 32-bit và 64-bit). Ngoài ra, các hệ điều hành như Windows 98, Windows 98 Second Edition (SE), hoặc Windows ME không được Microsoft lưu tâm tới.