Bản cập nhật Bản vá thứ ba của Microsoft cho tháng 3 đã chính thức có sẵn với 71 bản sửa lỗi trải dài trên các sản phẩm phần mềm của hãng như Windows, Office, Exchange và Defender, trong số những sản phẩm khác.
Trong tổng số 71 bản vá, ba bản được đánh giá là Nghiêm trọng và 68 bản được đánh giá là Quan trọng ở mức độ nghiêm trọng. Mặc dù không có lỗ hổng nào được liệt kê là bị khai thác tích cực, nhưng ba trong số chúng đã được công khai tại thời điểm phát hành.
Cần chỉ ra rằng Microsoft đã giải quyết riêng 21 lỗi trong trình duyệt Microsoft Edge dựa trên Chromium vào đầu tháng này.
Tất cả ba lỗ hổng nghiêm trọng được khắc phục trong tháng này là lỗi thực thi mã từ xa ảnh hưởng đến Phần mở rộng video HEVC (CVE-2022-22006), Máy chủ Microsoft Exchange (CVE-2022-23277) và Phần mở rộng video VP9 (CVE-2022-24501).
Lỗ hổng Microsoft Exchange Server được nhà nghiên cứu Markus Wulftange báo cáo cũng rất đáng chú ý vì nó yêu cầu kẻ tấn công phải được xác thực mới có thể khai thác được máy chủ.
Nhà sản xuất Windows cho biết: “Kẻ tấn công vì lỗ hổng này có thể nhắm mục tiêu các tài khoản máy chủ trong một quá trình thực thi mã tùy ý hoặc từ xa”. “Là một người dùng đã được xác thực, kẻ tấn công có thể cố gắng kích hoạt mã độc hại trong ngữ cảnh tài khoản của máy chủ thông qua một cuộc gọi mạng.”
Kevin Breen, giám đốc nghiên cứu mối đe dọa mạng tại Immersive Labs, cho biết: “Lỗ hổng nghiêm trọng CVE-2022-23277 cũng nên là một mối quan tâm. “Trong khi yêu cầu xác thực, lỗ hổng này ảnh hưởng đến các máy chủ Exchange tại chỗ có thể được sử dụng trong quá trình di chuyển ngang vào một phần của môi trường tạo cơ hội cho việc xâm nhập email doanh nghiệp hoặc đánh cắp dữ liệu từ email.”
Ba lỗi zero-day được Microsoft sửa như sau:
CVE-2022-24512 (điểm CVSS: 6,3) – Lỗ hổng thực thi mã từ xa .NET và Visual Studio CVE-2022-21990 (điểm CVSS: 8,8) – Lỗ hổng thực thi mã từ xa máy khách từ xa CVE-2022-24459 (điểm CVSS: 7,8 ) – Dịch vụ quét và fax Windows Nâng cao lỗ hổng đặc quyền
Microsoft cũng gắn nhãn CVE-2022-21990 là “Khả năng khai thác nhiều hơn” vì tính khả dụng công khai của khai thác bằng chứng khái niệm (PoC), điều quan trọng là các bản cập nhật phải được áp dụng càng sớm càng tốt để tránh các cuộc tấn công tiềm ẩn.
Các khiếm khuyết quan trọng khác là một số lỗi thực thi mã từ xa trong Máy khách / Máy chủ Windows SMBv3, microsoft office và Paint 3D, cũng như các lỗi báo cáo đặc quyền trong Xbox Live Auth Manager, Microsoft Defender cho IoT và Azure Site Recovery.
Tổng cộng, các bản vá đã đóng lại 29 lỗ hổng thực thi mã từ xa, 25 lỗ hổng nâng cấp đặc quyền, sáu lỗ hổng tiết lộ thông tin, bốn lỗ hổng từ chối dịch vụ, ba lỗ hổng bỏ qua tính năng bảo mật, ba lỗ hổng giả mạo và một lỗ hổng giả mạo.
Bản vá phần mềm từ các nhà cung cấp khác
Ngoài Microsoft, các bản cập nhật bảo mật cũng đã được phát hành bởi các nhà cung cấp khác để khắc phục một số lỗ hổng, kể –
.
