Hơn 100 lỗ hổng bảo mật được Micorsoft vá lỗi trong tháng 4

Các sản phẩm được vá lỗi tháng này là hệ điều hành: Windows, Microsoft Office, Dynamics, Edge, Hyper-V, File Server, Skype for Business, Windows SMB.

Hai lỗ hổng zero-day trong danh sách là CVE-2022-26904, ảnh hưởng đến Windows User Profile Service và CVE-2022-24521, tìm thấy trong Windows Common Log File System Driver. Microsoft đã phát hiện lỗ hổng CVE-2022-24521 bị khai thác ngoài đời.

Hai lỗ hổng khác, CVE-2022-26809 và CVE-2022-24491 cũng đáng lưu ý. Chúng tác động đến Remote Procedure Call Runtime và Windows Network File, có thể bị triển khai thông qua RCE.

Trước đó, ngày 8/3, Microsoft đã phát hành danh sách bản vá tháng 3 với 71 lỗ hổng bảo mật. Đáng chú ý, nhiều lỗ hổng bảo mật có mức ảnh hưởng cao.

Cụ thể, 2 lỗ hổng bảo mật CVE-2022-21990, CVE-2022-23285 tồn tại trong Remote Desktop Client cho phép đối tượng tấn công thực thi mã từ xa. Cùng có điểm CVSS là 8.8, hai lỗ hổng bảo mật này đến các máy dùng Windows Server 2008/2012/2016/2019/2022, Windows 10/8.1/7. Các lỗ hổng đã có mã khai thác được công bố rộng rãi trên Internet.

Ngoài ra, trong bản Windows Server 2008/2012/2016/2019/2022 và Windows 11/10/8.1/7, lỗ hổng bảo mật CVE-2022-24459 trong Windows Fax và Scan Service cho phép đối tượng tấn công thực hiện tấn công leo thang đặc quyền.

Lỗ hổng bảo mật CVE-2022-24508 trong SMBv3 cho phép đối tượng tấn công thực thi mã từ xa trên Windows SMBv3 Client/Server. Lỗ hổng này ảnh hưởng đến các máy dùng Windows 10/11, Windows Server 2022.

Bên cạnh đó, lỗ hổng bảo mật CVE-2022-23277 trong Microsoft Exchange Server cho phép đối tượng tấn công thực thi mã từ xa với tài khoản xác thực hợp lệ; ảnh hưởng các máy dùng Microsoft Exchange Server 2019/2016/2013...

Microsoft nêu ra một số bước mà các tổ chức khác có thể áp dụng để nâng cao khả năng bảo mật của mình, bao gồm xác thực đa yếu tố, không sử dụng các biện pháp xác thực yếu như tin nhắn SMS hoặc địa chỉ email phụ...