Video: ✅Hướng dẫn xoá hoặc mở Internet Explore trên win 10 tận gốc mới nhất| Hướng dẫn Tổng hợp (Tháng Chín 2024)
Microsoft đã sửa 33 lỗ hổng trên mười bản tin trong Internet Explorer, ứng dụng Office, Windows, .NET framework và Lync như một phần của bản phát hành Bản vá tháng ba.
Trong số mười, chỉ có hai bản tin được đánh giá là "quan trọng", mức độ nghiêm trọng cao nhất, Microsoft cho biết trong tư vấn thông báo Patch thứ ba. Các bản vá còn lại được đánh giá là "quan trọng", điều này thường có nghĩa là những kẻ tấn công sẽ không thể khai thác lỗ hổng nếu không có sự tham gia của người dùng.
"Mặc dù 10 bản vá bao gồm 33 lỗ hổng có vẻ như là một con số cao, nhưng đó không phải là tất cả tin xấu cho CNTT", Paul Henry, nhà phân tích pháp y và bảo mật tại Lumension nói.
Bản sửa lỗi cho Internet Explorer
Cả hai bản vá quan trọng đều dành cho Internet Explorer. Câu hỏi lớn cho Patch thứ ba trong tháng này là liệu Microsoft có sửa lỗi zero-day được báo cáo gần đây trong Internet Explorer 8. Microsoft đã phát hành một cách giải quyết tạm thời vào tuần trước và tiếp theo là một bản vá đầy đủ (MS13-038) ngày hôm nay.
"Thật nhẹ nhõm khi thấy Microsoft đã giải quyết vấn đề này rất nhanh, vì nó đang được khai thác tích cực, " Henry nói.
Bản vá IE khác (MS13-037) là bản cập nhật tích lũy cho các phiên bản IE 6, 7, 8, 9 và 10 và đóng 11 lỗ hổng khác nhau, bao gồm các lỗ hổng được báo cáo trong cuộc thi Pwn2Own hồi tháng 3.
"Ở một cấp độ, đây là Microsoft ở mức bảo mật tốt nhất của họ", Ross Barrett, quản lý cấp cao về kỹ thuật bảo mật tại Rapid7, nói với SecurityWatch . Công ty đã phản hồi kịp thời để đưa ra cảnh báo tư vấn công khai về vấn đề này, đưa ra cách giải quyết tạm thời và sau đó đóng lỗ hổng như một phần của bản cập nhật theo lịch trình, tất cả trong vòng 11 ngày.
Mặt khác, việc Microsoft phát hành các bản vá Internet Explorer quan trọng trên thực tế hàng tháng làm nổi bật những gì sai với cách Microsoft xử lý các bản vá và phần mềm cũ hơn, Barrett nói. Ngược lại, trình duyệt Chrome của Google được cập nhật tự động khi có các bản sửa lỗi và không có "phiên bản cũ" của trình duyệt để lo lắng. Microsoft đang buộc các nguồn lực trong việc duy trì các phiên bản cũ hơn và khiến người dùng gặp rủi ro, Barrett nói.
Các bản tin khác cần lưu ý
Các bản tin đáng chú ý khác đề cập đến một điều kiện từ chối dịch vụ ảnh hưởng đến máy khách và máy chủ HTTP trong Windows (MS13-039). Vấn đề chỉ áp dụng cho các phiên bản Windows mới hơn, đặc biệt là Windows Server 2012. Các cuộc tấn công khai thác lỗ hổng này có thể "rất có thể gây rối" do nhiều dịch vụ từ xa và tích hợp Active Directory dựa vào http.sys, Barrett nói.
Lamar Bailey, giám đốc nghiên cứu và phát triển bảo mật của Tripwire cho biết: "Tất cả các nhóm bảo mật CNTT nên nhanh chóng thực hiện việc khai thác này vì việc khai thác có thể sẽ được phát triển rất nhanh. Việc khai thác thành công có thể khiến DoS trên các máy chủ bị ảnh hưởng tạo ra sự cố tạm thời".
Microsoft đã giải quyết các lỗ hổng trong các sản phẩm Office khác nhau, chẳng hạn như lỗi thực thi mã từ xa trong Microsoft Lync, trước đây là Communicator, (MS13-041) và 11 vấn đề hỏng bộ nhớ trong Publisher (MS13-042) và lỗi trong Microsoft Word và Excel (MS13- 042). Lỗ hổng Lync chỉ có thể được khai thác nếu hai người dùng trong phiên Lync đang chia sẻ nội dung độc hại. "Hy vọng không ai trong số những người dùng của bạn có cuộc trò chuyện Lync với ai đó đang cố tấn công hệ thống của bạn, trong trường hợp đó bạn sẽ ổn thôi", Henry nói.
Lỗ hổng giả mạo và bỏ qua xác thực trong .NET (MS13-040) không ảnh hưởng đến cấu hình mặc định. Một bản tin khác đề cập đến các lỗ hổng tiết lộ thông tin trong Windows Essentials 2012 (MS13-045). Microsoft cũng đã sửa ba lỗi nâng cao đặc quyền cục bộ trong trình điều khiển chế độ Windows Kernel (MS13-046). Các lỗi nghiêm trọng nhất ảnh hưởng đến Windows XP và cho phép kẻ tấn công chạy các quy trình trong bối cảnh nâng cao.
"Hãy chắc chắn vá Internet Explorer (MS13-037 và MS13-038) càng sớm càng tốt, cùng với MS13-039 trên các máy chủ web đối mặt với internet, tiếp theo là phần còn lại của các bản vá", Marc Maiffret, CTO của BeyondTrust nói.
