Video: (Tutorial) Smoke Patch21 V3 21.0.0 AIO + 21.0.4 - Cách Cài Đặt Chi Tiết (Tháng mười một 2024)
Microsoft đã phát hành năm bản vá lỗi, hai bản vá được đánh giá là "Quan trọng" và ba bản vá lỗi "Quan trọng" 23 trong Internet Explorer, Microsoft Windows và Silverlight như là một phần của bản cập nhật Patch thứ ba. Bản vá IE cũng đã đóng cửa những kẻ tấn công lỗ hổng zero-day đã khai thác kể từ tháng Hai.
Những kẻ tấn công đã khai thác lỗ hổng zero-day nghiêm trọng (CVE-2014-0322) trong Internet Explorer 10 vào tháng trước như một phần của Chiến dịch SnowMan, đã xâm phạm trang web thuộc Cựu chiến binh nước ngoài của Hoa Kỳ, cũng như trong một cuộc tấn công khác mạo danh một người Pháp nhà sản xuất hàng không vũ trụ. Bản vá IE (MS14-022) đã đóng lỗ hổng này cũng như 17 lỗi khác, bao gồm một lỗi đã được sử dụng trong các cuộc tấn công nhắm mục tiêu hạn chế vào Internet Explorer 8 (CVE-2014-0324), Dustin Childs, quản lý nhóm tại Microsoft Trustworthy Computing, đã viết trên blog Trung tâm phản hồi bảo mật của Microsoft.
"Rõ ràng bản cập nhật IE nên là ưu tiên cao nhất của bạn", Childs nói.
Các vấn đề với Silverlight
Bản vá quan trọng khác sửa lỗi lỗ hổng thực thi mã từ xa quan trọng trong DirectShow và ảnh hưởng đến nhiều phiên bản Windows. Lỗ hổng nằm ở cách hình ảnh JPEG được DirectShow phân tích cú pháp, khiến cho các cuộc tấn công khai thác lỗ hổng này sẽ chèn hình ảnh độc hại vào các trang web bị xâm nhập hoặc được nhúng trong tài liệu, Marc Maiffret, CTO của BeyondTrust cho biết. Điều đáng chú ý là người dùng chạy với các đặc quyền không phải là quản trị viên sẽ ít bị ảnh hưởng bởi các cuộc tấn công này vì kẻ tấn công sẽ bị hạn chế thiệt hại mà họ có thể gây ra.
Bỏ qua tính năng bảo mật trong Silverlight được đánh giá là "quan trọng" nhưng cũng được ưu tiên khá cao. Những kẻ tấn công có thể khai thác lỗ hổng bằng cách hướng người dùng đến một trang web độc hại chứa nội dung Silverlight được chế tạo đặc biệt, Microsoft cho biết. Điều nguy hiểm là những kẻ tấn công có thể vượt qua ASLR và DEP, hai công nghệ giảm thiểu khai thác được tích hợp trong Windows bằng cách khai thác lỗ hổng này, Maiffret cảnh báo. Kẻ tấn công sẽ cần một khai thác thứ cấp để thực hiện mã từ xa sau khi bỏ qua ASLR và DEP để giành quyền kiểm soát hệ thống, chẳng hạn như lỗ hổng bỏ qua ASLR được vá vào tháng 12 (MS13-106). Mặc dù hiện tại không có cuộc tấn công nào khai thác lỗ hổng này trong tự nhiên, người dùng nên chặn Silverlight chạy trong Internet Explorer, Firefox và Chrome cho đến khi bản vá được áp dụng, Maiffret nói. Điều quan trọng nữa là đảm bảo các bản vá cũ hơn cũng đã được triển khai.
Microsoft nên từ bỏ Silverlight vì "họ thấy rất nhiều bản vá được áp dụng hạn chế", Tyler Reguly đề xuất. Vì Microsoft sẽ tiếp tục hỗ trợ cho đến ít nhất là năm 2021, các tổ chức nên bắt đầu di chuyển khỏi Silverlight để "tất cả chúng ta có thể gỡ cài đặt Silverlight và tăng hiệu quả bảo mật cho các hệ thống người dùng cuối", ông nói thêm.
Các bản vá lỗi còn lại của Microsoft
Một bản vá khác nên được áp dụng sớm hơn là muộn hơn là giải quyết một cặp lỗ hổng đặc quyền nâng cao Windows Kernel Mode Driver (MS14-014) vì nó ảnh hưởng đến tất cả các phiên bản Windows được hỗ trợ (trong tháng này, vẫn bao gồm Windows XP). Để khai thác lỗ hổng này, kẻ tấn công "phải có thông tin đăng nhập hợp lệ và có thể đăng nhập cục bộ", Microsoft cảnh báo.
Bản vá cuối cùng khắc phục các sự cố trong Giao thức từ xa của Trình quản lý tài khoản bảo mật (SAMR) cho phép kẻ tấn công tàn phá tài khoản Active Directory và không bị khóa khỏi tài khoản. Bản vá sửa lỗi gọi API đó để Windows khóa chính xác các tài khoản khi bị tấn công. "Chính sách khóa mật khẩu được áp dụng cụ thể để ngăn chặn các nỗ lực vũ phu và cho phép kẻ tấn công độc hại bỏ qua chính sách hoàn toàn đánh bại sự bảo vệ mà nó cung cấp", Reguly nói.
Cập nhật phần mềm khác
Đây là tuần để cập nhật hệ điều hành. Apple đã phát hành iOS 7.1 vào đầu tuần này và Adobe đã cập nhật Adobe Flash Player (APSB14-08) để đóng hai lỗ hổng ngày hôm nay. Các vấn đề hiện không được khai thác trong tự nhiên, Adobe nói.
Apple đã khắc phục một số sự cố quan trọng trong iOS 7, bao gồm sự cố báo cáo sự cố có thể cho phép người dùng cục bộ thay đổi quyền trên các tệp tùy ý trên các thiết bị bị ảnh hưởng, sự cố hạt nhân có thể cho phép chấm dứt hệ thống bất ngờ hoặc thực thi mã tùy ý trong kernel và một lỗi cho phép người dùng trái phép bỏ qua các yêu cầu ký mã trên các thiết bị bị ảnh hưởng. Apple cũng đã sửa một lỗi có thể cho phép kẻ tấn công lôi kéo người dùng tải xuống ứng dụng độc hại thông qua Tải xuống ứng dụng doanh nghiệp và một lỗi khác cho phép tệp sao lưu được tạo thủ công độc hại để thay đổi hệ thống tệp iOS.
