Có tới 121 lỗi bảo mật mới đã được Microsoft vá như một phần của bản cập nhật Bản vá thứ ba trong tháng 8, bao gồm bản sửa lỗi cho lỗ hổng Công cụ chẩn đoán hỗ trợ mà công ty cho biết đang bị khai thác tích cực.
Trong số 121 lỗi, 17 lỗi được đánh giá là Nghiêm trọng, 102 lỗi được đánh giá là Quan trọng, một lỗi được xếp hạng Trung bình và một lỗi được đánh giá là Mức độ nghiêm trọng thấp. Hai trong số các vấn đề đã được liệt kê là được biết đến công khai tại thời điểm phát hành.
Cần lưu ý rằng 121 lỗi bảo mật ngoài 25 thiếu sót mà gã khổng lồ công nghệ đã giải quyết trong trình duyệt Edge dựa trên Chromium vào cuối tháng trước và tuần trước đó.
Đứng đầu danh sách các bản vá là CVE-2022-34713 (điểm CVSS: 7,8), một trường hợp thực thi mã từ xa ảnh hưởng đến Công cụ chẩn đoán hỗ trợ Microsoft Windows (MSDT), khiến nó trở thành lỗ hổng thứ hai trong cùng một thành phần sau Follina (CVE-2022 -30190) được vũ khí hóa trong các cuộc tấn công trong thế giới thực trong vòng ba tháng.
Lỗ hổng này cũng được cho là một biến thể của lỗ hổng được công khai là DogWalk, được tiết lộ ban đầu bởi nhà nghiên cứu bảo mật Imre Rad vào tháng 1 năm 2020.
“Việc khai thác lỗ hổng yêu cầu người dùng phải mở một tệp được chế tạo đặc biệt”, Microsoft cho biết trong một lời khuyên. “Trong một tình huống tấn công email, kẻ tấn công có thể khai thác lỗ hổng bằng cách gửi tệp được chế tạo đặc biệt cho người dùng và thuyết phục người dùng mở tệp.”
Ngoài ra, kẻ tấn công có thể lưu trữ một trang web hoặc tận dụng một trang web đã bị xâm nhập có chứa tệp chứa phần mềm độc hại được thiết kế để khai thác lỗ hổng bảo mật, sau đó lừa các mục tiêu tiềm năng nhấp vào liên kết trong email hoặc tin nhắn tức thì để mở tài liệu.
Kev Breen, giám đốc nghiên cứu mối đe dọa mạng tại Immersive Labs, cho biết: “Đây không phải là một vectơ không phổ biến và các tài liệu và liên kết độc hại vẫn được những kẻ tấn công sử dụng để tạo ra hiệu quả lớn”. “Nó nhấn mạnh sự cần thiết của các nhân viên nâng cao kỹ năng để cảnh giác với các cuộc tấn công như vậy.”
CVE-2022-34713 là một trong hai lỗi thực thi mã từ xa trong MSDT bị Redmond đóng trong tháng này, lỗi còn lại là CVE-2022-35743 (điểm CVSS: 7,8). Các nhà nghiên cứu bảo mật Bill Demirkapi và Matt Graeber đã được ghi nhận là người đã báo cáo lỗ hổng bảo mật.
Microsoft cũng đã giải quyết ba lỗi báo cáo đặc quyền trong Exchange Server có thể bị lạm dụng để đọc email được nhắm mục tiêu và tải xuống tệp đính kèm (CVE-2022-21980, CVE-2022-24477 và CVE-2022-24516) và một lỗ hổng tiết lộ thông tin công khai. (CVE-2022-30134) trong Exchange cũng có thể dẫn đến tác động tương tự.
“Quản trị viên nên bật Bảo vệ mở rộng để khắc phục hoàn toàn lỗ hổng này”, Greg Wiseman, giám đốc sản phẩm tại Rapid7, nhận xét về CVE-2022-30134.
Bản cập nhật bảo mật khắc phục thêm nhiều lỗi thực thi mã từ xa trong Windows Point-to-Point Protocol (PPP), Windows Secure Socket Tunneling Protocol (SSTP), Azure RTOS GUIX Studio, Microsoft Office và Windows Hyper-V.
Bản vá lỗi thứ ba cũng đáng chú ý vì đã giải quyết hàng tá lỗi leo thang đặc quyền: 31 lỗi trong Azure Site Recovery, một tháng sau khi Microsoft khắc phục 30 lỗi tương tự trong dịch vụ liên tục của doanh nghiệp, 5 lỗi trong Storage Spaces Direct, 3 lỗi trong Windows Kernel và 2 lỗi trong Mô-đun Print Spooler.
Bản vá phần mềm từ các nhà cung cấp khác
Ngoài Microsoft, các bản cập nhật bảo mật cũng đã được các nhà cung cấp khác phát hành kể từ đầu tháng để khắc phục một số lỗ hổng, bao gồm –
.
