Trong số 63 lỗ hổng được giải quyết, có 3 lỗi nghiêm trọng, 56 lỗi quan trọng và 4 lỗi trung bình.
Đặc biệt, có 5 lỗ hổng zero-day cần chú ý bao gồm:
CVE-2023-36025 (điểm CVSS: 8,8): Lỗ hổng vượt qua tính năng bảo mật Windows SmartScreen
CVE-2023-36038 (điểm CVSS: 8,2): Lỗ hổng từ chối dịch vụ ASP.NET Core Denial.
CVE-2023-36033 (điểm CVSS: 7,8): Lỗ hổng leo thang đặc quyền trong thư viện Windows DWM Core.
CVE-2023-36036 (điểm CVSS: 7,8): Lỗ hổng leo thang đặc quyền trong Trình điều khiển bộ lọc mini của các tệp Windows cloud.
CVE-2023-36413 (điểm CVSS: 6,5): Lỗ hổng vượt qua tính năng bảo mật của Microsoft Office.
Trong khi CVE-2023-36033 và CVE-2023-36036 đều có thể bị kẻ tấn công khai thác để chiếm đặc quyền SYSTEM, thì CVE-2023-36025 lại cho phép vượt qua các bước kiểm tra SmartScreen của Windows Defender và không kích hoạt các cảnh báo liên quan.
Microsoft cho biết thêm về CVE-2023-36025: “Người dùng sẽ phải nhấp vào một Internet Shortcut (.URL) tự tạo hoặc một liên kết trỏ đến một tệp Internet Shortcut do kẻ tấn công kiểm soát.
CVE-2023-36025 là lỗ hổng zero-day thứ ba trong Windows SmartScreen đang bị khai thác trong năm nay và là lỗ hổng thứ tư được vá trong 2 năm qua bên cạnh các lỗ hổng đã được giải quyết là CVE-2022-44698 (điểm CVSS: 5,4), CVE-2023-24880 (điểm CVSS: 5,1) và CVE-2023-32049 (điểm CVSS: 8,8).
Tuy Microsoft không cung cấp thông tin về cơ chế tấn công được sử dụng hay các mối đe dọa có thể bị vũ khí hóa nhưng việc khai thác các lỗ hổng leo thang đặc quyền cho thấy chúng có thể bị lạm dụng cùng với lỗi thực thi mã từ xa.
Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) đã bổ sung 3 lỗ hổng vào danh mục Các lỗ hổng bị khai thác đã biết (KEV) và khuyến cáo áp dụng các bản vá trước ngày 5 tháng 12 năm 2023.
Ngoài ra, Microsoft cũng giải quyết các lỗ hổng khác trong tháng này:
2 lỗi thực thi mã từ xa nghiêm trọng trong Protected Extensible Authentication Protocol và Pragmatic General Multicast (CVE-2023-36028 và CVE-2023-36397, điểm CVSS: 9,8). Những lỗ hổng này có thể bị kẻ tấn công lạm dụng để thực thi mã độc.
2 lỗ hổng tràn bộ đệm dựa trên heap trong thư viện Curl (CVE-2023-38545, điểm CVSS: 9,8) và lỗ hổng tiết lộ thông tin trong Azure CLI ( CVE-2023-36052, điểm CVSS: 8,6) cho phép kẻ tấn công khôi phục mật khẩu và tên người dùng dưới dạng bản rõ từ các tệp log được tạo bởi các lệnh CLI trong Azure DevOps hoặc GitHub Actions”.
Với CVE-2023-36052, Microsoft cho biết hãng đã thay đổi một số lệnh trong Azure CLI (phiên bản 2.54) để đảm bảo an toàn, ngăn chặn việc tiết lộ thông tin nhạy cảm.
BBT