Microsoft vá các lỗ hổng bảo mật nguy cấp trên SharePoint

Hạnh Tâm| 13/12/2020 08:32
Theo dõi ICTVietnam trên

Các bản vá bảo mật cuối cùng trong năm 2020 của Microsoft đã được phát hành, nhằm xử lý 58 lỗ hổng ảnh hưởng tới một loạt các sản phầm phần mềm và hệ điều hành.

Các bản cập nhật tháng 12 bao gồm bản vá cho những lỗ hổng thực thi mã trong hệ điều hành Windows hàng đầu của công ty và hàng loạt vấn đề trong Microsoft Sharepoint, Microsoft Exchange, HyperV và vượt qua tính năng bảo mật Kerberos.

Trong tổng số 58 lỗ hổng thì có 9 lỗ hổng được Microsoft đánh giá là nguy cấp, 46 lỗ hổng được cho là nghiêm trọng, không có lỗ hổng nào trong tình trạng bị tấn công chủ động (active attack). Microsoft cho biết hiện không phát hiện thấy có mã khai thác công khai nào có tính khả dụng.

Microsoft vá các lỗ hổng bảo mật nguy cấp trên SharePoint  - Ảnh 1.

Theo Dustin Childs, nhà nghiên cứu đã theo dõi chặt chẽ các bản vá bảo mật Zero Day Initiative, người dùng Window nên đặc biệt chú ý các lỗ hổng sau:

CVE-2020-17132: Lỗ hổng thực thi mã từ xa trên Microsoft Exchange - Đây là một trong những lỗ hổng thực thi mã trong máy chủ Exchange và được 3 nhà nghiên cứu khác nhau ghi nhận. Điều đó nghĩa là lỗ hổng này rất đễ phát hiện và các nhà nghiên cứu khác cũng có thể tìm ra gốc rễ của vấn đề. 

Microsoft không cung cấp kịch bản tấn công nhưng lưu ý rằng kẻ tấn công cần phải được xác thực. Điều này chỉ ra rằng, nếu bạn quản lý hộp thư của ai đó, bạn có thể tiếp quản toàn bộ máy chủ Exchange. Với tất cả lỗ hổng Exchange khác, người dùng hãy ưu tiên kiểm tra và triển khai Exchange của mình.

CVE-2020-17121: Lỗ hổng thực thi mã từ xa trên Microsoft SharePoint – Lỗ hổng được báo cáo qua chương trình ZDI. Bản vá cho lỗ hổng này sửa một lỗi có thể cho phép người dùng đã xác thực thực thi mã .NET tùy ý trên máy chủ bị ảnh hưởng trong ngữ cảnh tài khoản dịch vụ của ứng dụng web SharePoint. 

Trong cấu hình mặc định của tài khoản, những người dùng SharePoint đã xác thực có thể tạo các trang cung cấp tất cả các quyền cần thiết. Những quyền này là các điều kiện tiên quyết để khởi chạy một cuộc tấn công.

CVE-2020-17095: Lỗ hổng thực thi mã từ xa trên Hyper-V này, có số điểm CVSS là 8,5 - Bản vá này sửa một lỗ hổng có thể cho phép một kẻ tấn công leo thang các quyền từ việc thực thi mã trên máy Hyper-V khách sang thực thi mã trên máy chủ Hyper-V bằng cách chuyển gói dữ liệu vSMB không hợp lệ. Dường như không cần các quyền đặc biệt trên hệ điều hành máy khách cũng có thể khai thác lỗ hổng này.

CVE-2020-16996: Lỗ hổng vượt qua tính năng bảo mật của Kerberos – Bản vá cho lỗ hổng này sửa lỗi bỏ qua tính năng bảo mật trong Kerberos.

Những nhà nghiên cứu bảo mật đang kêu gọi các quản trị viên của doanh nghiệp đặc biệt chú ý tới lỗ hổng CVE-2020-17096, một lỗ hổng thực thi mã từ xa trong Windows NTFS, hệ thống tệp tin chính của Windows.

Microsoft cảnh báo: "Một kẻ tấn công từ xa có quyền truy nhập SMBv2 tới hệ thống có lỗ hổng có thể gửi những yêu cầu lừa đảo đặc biệt qua mạng để khai thác lỗ hổng này và thực thi mã trên hệ thống mục tiêu".

Microsoft cũng đưa ra khuyến nghị để xử lý một lỗ hổng giả mạo ảnh hưởng tới Windows DNS Resolver. Công ty đã cung cấp một giải pháp khác liên quan tới việc thực hiện những thay đổi trong đăng ký.

Trong nửa cuối năm 2020, các bản cập nhật Patch Tuesday của Microsoft (ngoại trừ tháng 10 và tháng 12) đã sửa hơn 110 lỗ hổng bảo mật mỗi tháng. Tổng cộng, Microsoft đã vá hơn 1.200 lỗ hổng trong năm nay, nhiều hơn so với 851 lỗ hổng được vá trong năm 2019.

Bài liên quan
Nổi bật Tạp chí Thông tin & Truyền thông
  • Bộ TT&TT đẩy mạnh ứng dụng AI hẹp
    Bộ trưởng Bộ TT&TT Nguyễn Mạnh Hùng nhấn mạnh trí tuệ nhân tạo (AI) đã vào giai đoạn ứng dụng rộng rãi. Trong quý 2 này, Bộ TT&TT sẽ đưa ra một số ứng dụng mẫu để các cơ quan nhà nước có thể áp dụng rộng rãi.
  • Giải pháp nào cho tổ chức, DN trước tấn công ransomware gia tăng?
    Ngoài việc lên kế hoạch cho các giải pháp phát hiện và phòng chống, các tổ chức và doanh nghiệp (DN) cần lên kế hoạch và giải pháp khôi phục lại dữ liệu trong tình huống tội phạm mạng tấn công và vượt qua tất cả các hàng rào bảo mật và phá hủy hoàn toàn hệ thống.
  • Bia Trúc Bạch kiệt tác chinh phục đỉnh cao
    Khám phá một kiệt tác, một di sản dẫn lối tinh hoa. Hoa Bia Saaz quý tộc vùng Zatec một kinh nghiệm bậc thầy tạo ra hương vị tinh túy bậc nhất đẳng cấp vượt thời gian, trải nghiệm đỉnh cao hoàn mỹ. Bia Trúc Bạch kiệt tác chinh phục đỉnh cao
  • Lan tỏa kinh nghiệm, mô hình CĐS cho các cơ quan báo chí
    Trong quý I-2024, Bộ Thông tin và Truyền thông (TT&TT) tiếp tục tăng cường thực hiện công tác đấu tranh, ngăn chặn thông tin xấu độc trên mạng xã hội (MXH) xuyên biên giới.
  • Tam Đảo - điểm đến cho một không gian âm nhạc riêng
    Từng được mệnh danh là “Hòn Ngọc Đông Dương” - Tam Đảo luôn khiến những kẻ lãng du nao lòng bởi không gian bảng lảng sương mù lẩn khuất giữa những kiến trúc biệt thự tráng lệ. Và còn gì quyến rũ hơn, khi giữa không gian ấy lại được đắm mình trong những giai điệu trữ tình, ngọt ngào sâu lắng.
Đừng bỏ lỡ
  • Alibaba sẽ xây dựng trung tâm dữ liệu tại Việt Nam
    Trong thời gian chờ xây dựng, tập đoàn công nghệ Trung Quốc thuê không gian máy chủ từ các công ty viễn thông của Việt Nam.
  • CMC hợp tác cùng NVIDIA đưa TP. HCM trở thành trung tâm AI của cả nước
    Mới đây, tại Tổ hợp không gian sáng tạo CMC TP.HCM CCS, Chủ tịch Tập đoàn CMC Nguyễn Trung Chính đã có cuộc gặp với lãnh đạo của Tập đoàn NVIDIA nhằm tăng cường hợp tác chiến lược toàn diện của hai doanh nghiệp (DN).
  • Khai thác dữ liệu phục vụ chỉ đạo, điều hành tại trung tâm IOC: Kinh nghiệm của Bình Phước
    Xác định dữ liệu là nguồn tài nguyên quý trong kỷ nguyên số - một trong những yếu tố quan trọng quyết định sự thành công của quá trình chuyển đổi số (CĐS), tỉnh Bình Phước đã sớm tập trung quan tâm tạo lập, khai thác, sử dụng, tăng cường chia sẻ, kết nối dữ liệu số cùng với việc thành lập IOC và những kết quả bước đầu thu được rất đáng ghi nhận.
  • Hiệu quả thiết thực từ mô hình tiếp công dân trực tuyến
    Với sự phát triển của công nghệ truyền thông, họp trực tuyến, xét xử trực tuyến, tiếp công dân trực tuyến cũng đã được một số địa phương áp dụng. Việc tiếp công dân trực tuyến phần nào mang lại hiệu quả thiết thực so với tiếp công dân trực tiếp.
  • Nhà báo phát thanh trước yêu cầu chuyển đổi số
    Nhà báo phát thanh trong kỷ nguyên số cần hội đủ những kỹ năng cơ bản.
  • Tuyên Quang: Tăng cường các giải pháp chuyển đổi số báo chí
    Các chi hội nhà báo tại tỉnh Tuyên Quang đã đẩy mạnh công tác chuyển đổi số (CĐS) báo chí với nhiều giải pháp từ ứng dụng công nghệ mới vào sản xuất tin bài; duy trì hiệu quả chuyên mục “Chuyển đổi số” cho tới phát triển tác phẩm báo chí số.
  • 5 cách để nâng cao bảo mật khi sử dụng trình duyệt Chrome
    Trình duyệt Chrome đang được rất nhiều người tin dùng bởi độ ổn định và khả năng bảo mật. Tuy nhiên, sự phổ biến này cũng khiến nó trở thành mục tiêu của tin tặc.
  • Mỹ phạt nhà mạng vì chia sẻ vị trí của người dùng
    Chính phủ Mỹ đã đưa ra mức phạt hàng triệu USD đối với các nhà mạng AT&T, Sprint, T-Mobile và Verizon sau một cuộc điều tra cho thấy các nhà mạng lớn của nước này đã chia sẻ bất hợp pháp dữ liệu cá nhân của thuê bao mà không có sự đồng ý của họ.
  • Các công cụ bảo mật đám mây dựa trên AI
    Ngày nay, AI tiên tiến đang được đưa vào sử dụng ở mọi loại hình doanh nghiệp (AI). Một loạt các nhà cung cấp bảo mật bên thứ ba đã phát hành các công cụ bảo mật đám mây dưới sự hỗ trợ của AI. Dường như đây là một trong những xu hướng nóng nhất trong ngành.
  • Những người làm báo từ rừng về phố
    Ngày 30/4/1975, trong những cánh Giải phóng quân từ khắp nẻo tiến về Sài Gòn, có cả một đội quân nhà báo xuất phát từ các chiến khu hoặc hành quân theo các binh chủng, đã kịp thời có mặt, chứng kiến giây phút trọng đại: Giải phóng hoàn toàn miền nam, thống nhất đất nước.
Microsoft vá các lỗ hổng bảo mật nguy cấp trên SharePoint
POWERED BY ONECMS - A PRODUCT OF NEKO