Bản cập nhật an ninh Patch Tuesday tháng 10/2019 của Microsoft vừa được phát hành để xử lý tổng cộng 59 lỗ hổng, 9 trong số đó được đánh giá là nghiêm trọng, 49 lỗi quan trọng và một lỗi ở mức độ trung bình.
Đáng chú ý là không có lỗ hổng nào trong bản vá tháng 10 đã được công khai hay đã bị khai thác trên thực tế trước đó.
Ngoài ra, cũng không có bản vá nào cho Adobe Flash Player.
Hai lỗ hổng nghiêm trọng (CVE-2019-1238 và CVE-2019-1239) là lỗi thực thi mã từ xa trong cơ chế VBScript, xảy ra khi VBScript xử lý các đối tượng trong bộ nhớ, cho phép kẻ tấn công làm hỏng bộ nhớ và thực thi mã tùy ý bằng quyền người dùng hiện tại.
Hai lỗi này có thể bị khai thác từ xa bằng cách lừa nạn nhân truy cập một website tự tạo trên trình duyệt Internet Explorer.
Để khai thác, kẻ tấn công dùng một ứng dụng hoặc file Microsoft Office, nhúng vào đó một ActiveX control được đánh dấu là “an toàn cho việc khởi tạo” có sử dụng cơ chế render của Internet Explorer.
Ngoài ra, Microsoft cũng vá lỗ hổng khác cho phép thực hiện tấn công qua giao thức Remote Desktop Protocol (RDP). Hacker có thể kiểm soát máy khách đang kết nối với một máy chủ RDP độc hại bằng cách khai thác một lỗ hổng thực thi mã từ xa nghiêm trọng trong hệ điều hành Windows có tích hợp Remote Desktop Client.
Không giống lỗ hổng BlueKeep, lỗ hổng RDP này nằm ở phía khách hàng, đòi hỏi kẻ tấn công lừa nạn nhận kết nối đến một máy chủ RDP độc hại bằng cách sử dụng kỹ thuật social engineering, đầu độc DNS hoặc kỹ thuật tấn công man-in-the-middle (MITM).
Ba lỗi thực thi mã từ xa nghiêm trọng (RCE) khác là lỗi hỏng bộ nhớ khi Chakra scripting engine xử lý các đối tượng trong bộ nhớ trên trình duyệt Microsoft Edge. Một lỗi RCE khác là lỗi leo thang đặc quyền khi Azure App Service trên Azure Stack không kiểm tra được độ dài của bộ đệm trước khi sao chép bộ nhớ.
Các lỗ hổng được đánh giá là quan trọng dành cho các sản phẩm và dịch vụ sau của Microsoft:
Microsoft Windows
Internet Explorer
Microsoft Edge
ChakraCore
Microsoft Office, Office Services và Web Apps
SQL Server Management Studio
Open Source Software
Microsoft Dynamics 365
Windows Update Assistant
Phần lớn các lỗ hổng này cho phép leo thang đặc quyền, một số khác cho phép thực thi mã từ xa, trong khi các lỗi còn lại khiến lộ thông tin, tấn công cross-site scripting, qua mặt cơ chế an ninh, tấn công giả mạo và tấn công từ chối dịch vụ.
Người dùng Windows và quản trị hệ thống được khuyến cáo cần cập nhật bản vá an ninh sớm nhất có thể để tránh bị tin tặc tấn công giành quyền kiểm soát máy tính.
Để cài đặt bản cập nhật an ninh mới nhất, người dùng vào phần Settings → Update & Security → Windows Update → Check for updates trên máy tính hoặc có thể cập nhật thủ công.
Bên cạnh đó, Microsoft cũng đưa ra thông báo sẽ ngừng hỗ trợ bản cập nhật an ninh cho hai hệ điều hành Windows 7 and Windows Server 2008 kể từ ngày 14/01/2020.
