Microsoft phát hành bản cập nhật bảo mật cho tháng 10/2019

Cụ thể, trong 59 lỗ hổng được vá lần này có 9 lỗ hổng được đánh giá “nghiêm trọng” (critical), 49 lỗ hổng “quan trọng” (important) và một lỗ hổng mức độ nghiêm trọng vừa phải (moderate severity).

Các lỗ hổng “nghiêm trọng” đã được vá

Hai trong số các lỗ hổng nghiêm trọng được vá trong bản vá tháng 10 này là các lỗi thực thi mã từ xa trong công cụ VBScript. Cả hai lỗi này đều tồn tại trong cách VBScript xử lý các đối tượng trong bộ nhớ, cho phép kẻ tấn công làm hỏng bộ nhớ và thực thi mã tùy ý trong ngữ cảnh của người dùng hiện tại.

Hai lỗ hổng khác mang số hiệu CVE-2019-1238 và CVE-2019-1239 có thể được khai thác từ xa bằng cách lừa nạn nhân truy cập vào một trang web giả mạo thông qua Internet Explorer. Kẻ tấn công cũng có thể khai thác các lỗi này bằng cách sử dụng một ứng dụng hoặc tài liệu Microsoft Office bằng cách nhúng một điều khiển ActiveX được đánh dấu ‘safe for initialization’ sử dụng công cụ rendering Internet Explorer.

Cũng trong tháng này, Microsoft còn vá một lỗ hổng cho phép thực hiện cuộc tấn công RDP (Remote Desktop Protocol) đảo ngược bằng cách khai thác lỗ hổng thực thi mã từ xa nghiêm trọng trong ứng dụng Remote Desktop Client tích hợp trong Windows.

Ba lỗ hổng RCE nghiêm trọng là các vấn đề hỏng bộ nhớ nằm trong cách công cụ scripting Chakra xử lý các đối tượng trong bộ nhớ của Microsoft Edge.

Lỗ hổng RCE nghiêm trọng cuối cùng là lỗi leo thang đặc quyền tồn tại khi dịch vụ ứng dụng Azure trên Azure Stack không thể kiểm tra độ dài của bộ đệm trước khi sao chép bộ nhớ vào nó.

Xử lý nhiều lỗ hổng “quan trọng” khác

Bản vá tháng 10 cũng xử lý 49 lỗ hổng “quan trọng”. Hầu hết các lỗ hổng này cho phép các tin tặc leo thang đặc quyền, thực hiện các cuộc tấn công thực thi mã từ xa, trong khi một số lỗ hổng khác sẽ cho phép tiết lộ thông tin, kịch bản chéo trang (XSS), bỏ qua tính năng bảo mật, giả mạo hoặc cho phép thực hiện các cuộc tấn công từ chối dịch vụ.

Microsoft khuyến cáo người dùng nên áp dụng các bản vá bảo mật mới nhất càng sớm càng tốt nhằm ngăn chặn khả năng tin tặc và tội phạm mạng có thể khai thác các lỗ hổng để kiểm soát máy tính của họ.

Bên cạnh đó, Microsoft cũng đã đưa ra một thông báo như một lời nhắc nhở cho người dùng Windows 7 và Windows Server 2008 R2 về gói hỗ trợ mở rộng dành cho hai hệ điều hành này sẽ kết thúc trong vòng hai tháng tới. Theo đó, kể từ ngày 14/1/2020, người dùng của hai hệ điều hành sẽ không còn nhận được các bản cập nhật bảo mật hàng tháng.