Cập nhật bản vá lỗ hổng bảo mật tháng 3/2023

Trong tháng 3, Microsoft, Adobe và SAP đã phát hành bản vá cho các sản phẩm của mình. Người dùng cần khẩn trương cài đặt các bản vá để phòng tránh rủi ro mất an toàn thông tin.

Microsoft

Trung tuần tháng 3, Microsoft đã phát hành bản cho 74 lỗ hổng bảo mật trong các sản phẩm Microsoft Window và Microsoft Component; Aruze; Office và Office Component; Visual Studio, Edge (Chromium-based) và Microsoft Dynamics. Trong đó, có 6 lỗ hổng xếp hạng nghiêm trọng, 67 lỗ hổng quan trọng và 1 lỗ hổng xếp hạng trung bình.

Đáng lưu ý, trong bản vá lần này có lỗ hổng nghiêm trọng định danh CVE-2023-23392, đang bị tích cực khai thác trong tháng này. Lỗ hổng với điểm CVSS 9.8 này cho phép tin tặc có thể thực hiện mã độc tùy ý ở cấp hệ thống mà không cần thao tác người dùng. Các hệ thống bị tấn công đòi hỏi thỏa mãn một số điều kiện như đã bật HTTP/3 và được thiết lập sử dụng bộ đệm I/O. Tuy nhiên đây là những thiết lập tương đối phổ thông đối với Windows 11 và Windows Service 2022.

Adobe

Cũng trong tháng 3, Adobe phát hành bản vá lớn cho 105 lỗ hổng bảo mật trong các sản phẩm  Adobe Photoshop, Experience Manager, Dimension, Commerce, Substance 3D Stager, Cloud Desktop Application, và Illustrator. Trong đó, có  61 lỗ hổng xếp hạng nghiêm trọng, 35 lỗ hổng quan trọng và 9 lỗ hổng trung bình. Không có lỗ hổng nào được liệt kê là đang bị khai thác công khai tạo thời điểm phát hành bản vá.

Trong các lỗ hổng được vá lần này đáng chú ý là lỗ hổng nghiêm trọng với điểm CVSS 9.8 trong phần mềm Cold Fusion định danh CVE-2023-26359. Lỗ hổng này lợi dụng việc các dữ liệu được mã hóa tuần tự sau khi được giải mã có thể bị sửa đổi mà không cần sử dụng các phương thức truy cập được cung cấp nếu không sử dụng mật mã để bảo vệ chính nó. Qua đó, tin tặc có thể thực thi mã tùy ý.

SAP

Ở một động thái khác, SAP đã phát hành bản vá cho 21 lỗ hổng bảo mật trong các sản phẩm SAP NetWeaver AS for ABAP và ABAP Platform, SAP NetWeaver for Java và SAP Business Object Business Intelligence Platform. Trong đó có 6 lỗ hổng nghiêm trọng, 4 lỗ hổng quan trọng và 11 lỗ hổng xếp hạng trung bình.

Một trong ba lỗ hổng với điểm CVSS 9,9 có mã định danh CVE-2023-23857. Đây là một lỗ hổng nghiêm trọng trong nền tảng SAP NetWeaver AS for Java - version 7.50. Lỗ hổng cho phép khai thác việc thiếu kiểm tra xác thực của SAP NetWeaver AS, qua đó, kẻ tấn công không được xác thực có thể mở giao diện và thực hiện các hoạt động trái phép ảnh hưởng đến người dùng và dịch vụ xuyên suốt các hệ thống. Khi khai thác thành công, tin tặc có thể đọc và sửa đổi một số thông tin nhạy cảm nhưng cũng có thể được sử dụng để khóa bất kỳ thành phần hoặc hoạt động nào của hệ thống khiến hệ thống không phản hồi hoặc không khả dụng.

BBT