Thông báo update bản vá tháng 9 của Microsoft và bản cập nhật của Google Chrome
Bizfly Cloud thu thập được các thông tin liên quan tới việc phát hành bản vá hàng tháng của Microsoft và bản cập nhật của Google Chrome cụ thể như sau.
1. Microsoft vừa phát hành bản vá hàng tháng cho các sản phẩm của Microsoft
(Microsoft September 2023 Patch Tuesday)
Trong bản vá tháng 9 này Microsoft đã vá tổng cộng 59 lỗ hổng trong đó có 2 lỗ hổng Zero-day bị khai thác tích cực trong thực tế. Bản vá này đã fix 1 số lượng lớn lỗ hổng với 5 lỗ hổng được đánh giá là Critical (Nghiêm trọng) cho phép kẻ tấn công thực thi mã từ xa, từ chối dịch vụ hoặc leo thang đặc quyền. Trong 59 lỗ hổng được fix cũng có các lỗ hổng được đánh giá là rất nghiêm trọng, những lỗ hổng này cho phép kẻ tấn công có thể leo thang đặc quyền, giả mạo và nghiêm trọng hơn là thực thi mã từ xa trên máy nạn nhân để thực hiện các cuộc tấn công mã hóa đòi tiền chuộc. Còn lại các lỗ hổng cũng được đánh giá là nghiêm trọng dựa trên mức ảnh hưởng của từng lỗ hổng. Các lỗ hổng bao gồm:
- 3 lỗ hổng Bypass Security Features
- 24 lỗ hổng thực thi mã từ xa
- 9 lỗ hổng lộ thông tin nhạy cảm
- 3 lỗ hổng từ chối dịch vụ
- 5 lỗ hổng giả mạo
- 5 lỗ hổng Edge - Chromium
Trong tổng số 59 lỗ hổng không bao gồm 5 lỗ hổng Microsoft Edge (Chromium), 2 lỗ hổng không phải của Microsoft trong Electron và Autodesk.
Bản vá tháng 9 này đã vá 2 lỗ hổng Zero-day bị khai thác tích cực, đó là:
- CVE-2023-36802: Lỗ hổng leo thang đặc quyền trong Microsoft Streaming Service Proxy.
- CVE-2023-36761: Lỗ hổng lộ thông tin nhạy cảm trong Microsoft Word
Ngoài ra có các lỗ hổng được đánh giá là rất nghiêm trọng do dựa trên khả năng khai thác và mức độ ảnh hưởng do lỗ hổng mang lại. Cụ thể bao gồm các lỗ hổng như sau:
Lỗ hổng thực thi mã từ xa (Remote code excution):
- CVE-2023-36796, CVE-2023-36792, CVE-2023-36793: Lỗ hổng tồn tại trong .NET và Visual Studio
- CVE-2023-38148: Lỗ hổng tồn tại trong Windows Internet Connection Sharing (ICS)
Lỗ hổng leo thang đặc quyền (Elevation of Privilege Vulnerability):
- CVE-2023-29332: Lỗ hổng tồn tại trong Microsoft Azure Kubernetes Service
Bên cạnh đó Microsoft cũng phát hành bản vá cho các phần mềm như .NET, Microsoft Office, Microsoft Teams, Visual Studio, Microsoft Azure Kubernetes Service ...
2. Google Chrome phát hành bản cập nhật
Google Chrome vừa phát hành bản cập nhật Stable Channel for Desktop dành cho Windows, Mac và Linux. Bản cập nhật này đã vá tổng cộng 1 lỗ hổng được đánh giá là Critical (Nghiêm trọng). Lỗ hổng này sẽ cho phép kẻ tấn công từ xa khai thác lỗi tràn bộ nhớ heap qua trang HTML tự tạo; Từ đó sẽ cho phép kẻ tấn công thực thi mã tùy ý, từ chối dịch vụ hoặc làm lộ thông tin nhạy cảm.
Để bảo vệ và tránh các rủi ro, Bizfly Cloud khuyến nghị người dùng cần:
- Luôn bật chức năng Update của hệ điều hành.
- Trong quá trình Update, hayx tuân thủ các hướng dẫn trên màn hình (Khởi động lại máy tính, không tắt máy trong quá trình Update...)
- Chủ động update Chrome lên phiên bản 116.0.5845.187 (cho Linux và Mac), 116.0.5845.187 hoặc 116.0.5845.188 (cho Windows).
Link các phần mềm được phát hành bản vá trong tháng này của Microsoft và thông tin chi tiết về bản cập nhật mới của Google Chrome:
- https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html
>> Xem thêm về bản cập nhật tháng 8: Thông báo update bản vá hàng tháng của Microsoft và bản cập nhật của Google Chrome
