Microsoft

Ngày 14/5, Microsoft phát hành bản vá Patch Tuesday tháng 5/2019, xử lý tổng cộng 79 lỗ hổng tồn tại trong: hệ điều hành Windows, Internet Explorer, Edge, Office (phiên bản thông thường, Services và Web Apps), ChakraCore, nền tảng .NET và ASP.NET, Skype (phiên bản dành cho Android), máy chủ Azure DevOps và trình quản lý gói NuGet. Trong số 79 lỗ hổng, có 18 lỗ hổng được đánh giá nghiêm trọng và 61 lỗ hổng quan trọng.

Đáng lưu ý, có 02 lỗ hổng đã bị công khai. Trong đó, 01 lỗ hổng đã bị khai thác trong thực tế. Lỗ hổng này được định danh CVE-2019-0863, do các nhà nghiên cứu của các hãng bảo mật PolarBear (trụ sở chính tại Thụy Điển) và Palo Alto Networks (trụ sở chính tại Mỹ) phát hiện. Đây là lỗ hổng leo thang đặc quyền tồn tại trong cách thức Báo cáo Lỗi Windows (WER) khi xử lý các tệp. Nếu khai thác thành công, tin tặc có thể thực thi mã tùy ý trong chế độ nhân, sau đó có thể cài đặt chương trình; xem, thay đổi hoặc xóa dữ liệu hay tài khoản mới với quyền quản trị viên.

Đặc biệt, trong tháng 5, Microsoft đã phát hành tư vấn bảo mật ADV190013, trình bày kế hoạch giảm thiểu thiệt hại của công ty cho một bộ lỗ hổng thiết kế phần cứng trong CPU, được gọi chung là lỗ hổng ZombieLoad, ảnh hưởng đến hầu hết các CPU Intel được phát hành từ năm 2011. Microsoft cho biết, người dùng cần thực hiện hai lần cập nhật, thứ nhất là các bản cập nhật firmware từ Intel hoặc nhà cung cấp thiết bị, thứ hai là các bản cập nhật hệ điều hành.

Adobe

Cũng trong ngày 14/5, Adobe cũng phát hành bản cập nhật bảo mật xử lý tổng cộng 87 lỗ hổng trong Adobe Acrobat và Reader, Flash Player và Media Encoder, hầu hết có thể dẫn đến tấn công thực thi mã tùy ý. Chiếm phần lớn các lỗ hổng (84/87) là lỗ hổng ảnh hưởng đến Adobe Acrobat và Reader, 42 lỗ hổng nghiêm trọng và 42 lỗ hổng còn lại là quan trọng. Theo phản hồi của Adobe, không có lỗ hổng nào đã bị khai thác trong thực tế.

Google

Trong tháng 5/2019, Google đã phát hành bản vá cho Android, xử lý 10 lỗ hổng vào ngày 01/05 và 20 lỗ hổng vào ngày 05/05. Bản vá bảo mật tháng 5 bao gồm các cập nhật bảo mật, các cải tiến chức năng cho nhiều thành phần của nền tảng Android và các thiết bị Pixel được hỗ trợ.

Lỗ hổng nghiêm trọng nhất liên quan đến Nền tảng Đa phương tiện, có thể cho phép tin tặc thực thi mã tùy ý qua tệp tin tự tạo. Google cũng lưu ý rằng, không có báo cáo nào về việc người dùng bị ảnh hưởng bởi các lỗ hổng này trong thực tế.

Apple

Ngày 13/5, Apple đã phát hành 173 bản vá bảo mật cho các sản phẩm khác nhau là máy tính Mac, iPhone, Apple TV và Apple Watch, bao gồm các bản watchOS 5.2.1, Safari 12.1.1, Phần mềm Apple TV 7.3. tvOS 12.3, iOS 12.3, macOS Mojave 10.14.5, cập nhật bảo mật 2019-003 cho High Sierra và Sierra.

Trong số các bản vá có bản vá cho các lỗ hổng ZombieLoad. Tất cả các máy tính Mac sản xuất từ năm 2011 đều bị ảnh hưởng bởi các lỗ hổng này.