Microsoft
Microsoft đã phát hành bản vá Patch Tuesday tháng 12 để giải quyết 71 lỗ hổng bảo mật. Đáng lưu ý, bản vá lần này khắc phục 01 lỗ hổng zero-day đang bị khai thác tích cực trong thực tế.
Theo đó, bản vá Patch Tuesday tháng 12 đã khắc phục 27 lỗ hổng leo thang đặc quyền; 30 lỗ hổng thực thi mã từ xa (RCE); 7 lỗ hổng tiết lộ thông tin; 4 lỗ hổng từ chối dịch vụ và 02 lỗ hổng giả mạo (spoofing). Bên cạnh đó, Microsoft cũng phát hành bản cập nhật Microsoft Office Defense in Depth Update, cung cấp khả năng bảo mật nâng cao đối với dịch vụ Office.
Đáng chú ý, một lỗ hổng đang bị khai thác trong thực tế có định danh CVE-2024-49138 có điểm CVSS 7,8. Đây là lỗ hổng leo thang đặc quyền của Windows Common Log File System Driver. Lỗ hổng CVE-2024-49138 có thể cho phép kẻ tấn công chiếm được quyền SYSTEM trên các thiết bị Windows. Hiện tại, chưa có thông tin nào được công bố về cách lỗ hổng này bị khai thác trong các cuộc tấn công.
Adobe
Cũng trong tháng 12, Adobe đã phát hành 16 bản vá để giải quyết 167 lỗ hổng bảo mật trong các sản phẩm Adobe Experience Manager, Acrobat and Reader, Media Encoder, Illustrator, After Effects, Animate, InDesign, Adobe PDFL Software Development Kit (SDK), Connect, Substance 3D Sampler, Photoshop, Substance 3D Modeler, Bridge, Premiere Pro, Substance 3D Painter và FrameMaker. Trong 167 lỗ hổng có 39 lỗ hổng xếp hạng mức độ nghiêm trọng, 121 lỗ hổng xếp hạng quan trọng và 7 lỗ hổng xếp hạng trung bình.
Đáng chú ý, các sản phẩm Experience Manager tồn tại 91 lỗ hổng. Tuy nhiên, hầu hết trong số này là lỗ hổng Cross-site scripting (XSS) có mức độ tác động được đánh giá đơn giản.
May mắn, không có lỗ hổng nào được Adobe cập nhật trong tháng này bị công khai hoặc khai thác trong thực tế trước thời điểm phát hành bản vá. Hãng Adobe khuyến cáo người dùng nhanh chóng cập nhật các bản vá để tránh những nguy cơ đáng tiếc.
SAP
Ở một động thái khác, SAP đã phát hành bản cập nhật để giải quyết 13 lỗ hổng bảo mật. Trong đó, có 5 lỗ hổng xếp hạng mức độ nghiêm trọng, 6 lỗ hổng xếp hạng quan trọng và 2 lỗ hổng xếp hạng trung bình.
Lỗ hổng bảo mật nghiêm trọng với điểm CVSS cao nhất mà hãng SAP giải quyết trong bản cập nhật lần này có định danh CVE-2024-47578 là 9,1 điểm. Đây là lỗ hổng XSS xảy ra trên sản phẩm SAP NetWeaver AS for JAVA (Adobe Document Services). Adobe Document Service cho phép kẻ tấn công có quyền quản trị viên gửi yêu cầu được tạo thủ công từ một ứng dụng web dễ bị tấn công. Nó thường được sử dụng để nhắm mục tiêu vào các hệ thống nội bộ đằng sau tường lửa mà kẻ tấn công thường không thể truy cập được từ mạng bên ngoài, dẫn đến lỗ hổng Server-Side Request Forgery. Khai thác thành công, kẻ tấn công có thể đọc hoặc sửa đổi bất kỳ tệp nào và/hoặc khiến toàn bộ hệ thống không khả dụng.
SAP khuyến cáo người dùng cần nhanh chóng cập nhật bản vá để tránh những nguy cơ đáng tiếc.
M.H
10:00 | 11/12/2024
16:00 | 02/12/2024
09:00 | 10/02/2025
16:00 | 30/10/2024
22:00 | 31/01/2025
Apple vừa phát đi thông báo khẩn cấp, khuyến cáo người dùng iPhone nên cập nhật phần mềm ngay lập tức để vá lỗi và bảo vệ dữ liệu cá nhân.
10:00 | 12/12/2024
Các nhà nghiên cứu của công ty bảo mật đám mây Aqua Nautilus (Mỹ) cho biết một tác nhân đe dọa có tên là Matrix đã được liên kết với một chiến dịch từ chối dịch vụ phân tán (DoD) trên diện rộng, lợi dụng các lỗ hổng và cấu hình lỗi trong các thiết bị Internet vạn vật (IoT) để biến chúng thành một mạng lưới botnet tinh vi.
07:00 | 17/11/2024
Trung tâm ứng cứu khẩn cấp không gian mạng Việt Nam VNCERT/CC (Cục An toàn thông tin, Bộ TT&TT) vừa tiếp tục cảnh báo về mã độc Pygmy Goat, xuất hiện trên các thiết bị SOPHOS FIREWALL nhắm vào các chuyên gia kinh tế số.
10:00 | 30/10/2024
Vụ việc hàng nghìn máy nhắn tin và các thiết bị liên lạc khác phát nổ ở Liban hồi tháng 9 đã gióng lên hồi chuông cảnh báo về phương thức tấn công chuỗi cung ứng mới vô cùng nguy hiểm, đánh dấu sự leo thang mới trong việc sử dụng chuỗi cung ứng chống lại các đối thủ. Điều này đã đặt ra yêu cầu cấp bách cho các nhà lãnh đạo toàn cầu về việc giảm phụ thuộc vào công nghệ từ các đối thủ.
Các trang web giả mạo quảng cáo Google Chrome đã được sử dụng để phân phối trình cài đặt độc hại cho một loại trojan truy cập từ xa có tên là ValleyRAT.
13:00 | 14/02/2025