Trong số tất cả các lỗ hổng bảo mật được vá trong tháng này, 10 lỗ hổng được các chuyên gia đánh giá là "nghiêm trọng", trong khi 73 lỗ hổng được xác định là "quan trọng".
 |
| Bản vá lỗi zero-day của Microsoft Defender. |
Lỗ hổng nghiêm trọng nhất là lỗi zero-day ảnh hưởng đến phần mềm chống virus Microsoft Defender. Được lập chỉ mục là CVE-2021-1647, lỗ hổng thực thi mã từ xa (RCE) này có thể cho phép hacker chạy mã độc tùy ý trên các thiết bị dễ bị tấn công, lừa người dùng mở tài liệu độc hại trên máy tính, chạy Microsoft Defender.
Microsoft cho biết, mặc dù Mã bằng chứng khái niệm (PoC) xác định rằng phần mềm có lỗ hỏng, nhưng mã/kỹ thuật này có thể sẽ không hoạt động trong tất cả các tình huống.
Chris Hass, Giám đốc Nghiên cứu và bảo mật thông tin tại Automox cho biết: "Kẻ tấn công cần phải có quyền truy cập vào máy nội bộ hoặc lừa người dùng kích hoạt đoạn code cho phép đột nhập và lấy cắp thông tin.
CVE-2021-1647 có thể ảnh hưởng xấu đến các phiên bản Microsoft Malware Protection Engine từ 1.1.17600.5 đến 1.1.17700.4 chạy trên Windows 10, Windows Server 2004 và Windows 7.
Một số nhà nghiên cứu bảo mật tin rằng tin tặc đã khai thác khả năng này như một phần của vụ hack SolarWinds khổng lồ, được phát hiện và công bố vào tháng 12/2020, tấn công vào nhiều cơ quan liên bang Mỹ.
Thông tin về lỗ hổng zero-day được công bố vài tuần sau khi Microsoft thừa nhận, các hacker tiến hành cuộc tấn công quy mô lớn này đã có thể xem mã nguồn của phần mềm trong một số kho lưu trữ code.
Công ty cũng nói rằng tin tặc không thể truy cập dữ liệu khách hàng hoặc dịch vụ sản xuất, máy của doanh nghiệp không được sử dụng để thực hiện những cuộc tấn công vào các tổ chức, doanh nghiệp khác.
Dustin Childs thuộc dự án Zero Day Initiative (ZDI) của Trend Micro cho biết: "Lỗi zero-day trong Microsoft Malware Protection Engine có thể được vá trên hệ thống củamáy tính khi hệ điều hành tự động cập nhật".
"Tuy nhiên, nếu hệ thống máy tính không được kết nối với Internet, người dùng sẽ cần phải cập nhật miếng vá thủ công".
Microsoft cũng giải quyết một lỗ hổng bảo mật Nâng cao đặc quyền hệ thống, được lập chỉ mục là CVE-2021-1648, do nhóm Dự án ZDI của Trend Micro phát hiện tháng 12/1, được xác định là ảnh hưởng đến Windows splwow64.exe hỗ trợ tính năng điều khiển máy in văn bản. Microsoft cho biết, lỗi này vẫn chưa bị tin tặc khai thác quy mô lớn, dù các chi tiết của lỗ hổng trong trạng thái có thể truy cập từ công cộng một thời gian dài.
Childs cho biết, Microsoft về cơ bản đã giải quyết hầu hết các lỗ hổng do hậu quả của bản sửa lỗi trước đó bằng bản vá cụ thể này. "CVE trước đây bị tin tặc khai thác mạnh mẽ, vì vậy, những CVE này cũng sẽ bị khai thác sử dụng tích cực", Childs nói.
CVE-2021-1705 là một lỗi RCE khác mà doanh nghiệp phần mềm khổng lồ giải quyết trong tháng này. Lỗ hổng liên quan đến bộ nhớ dành cho trình duyệt web Edge của Microsoft, phát sinh do trình duyệt truy cập những đối tượng trong bộ nhớ không đúng quy trình.
Các lỗi nghiêm trọng khác được đề cập trong bản cập nhật bảo mật tháng 1/2021 bao gồm CVE-2021-1665 (ảnh hưởng đến Giao diện thiết bị đồ họa Windows), CVE-2020-1643 (Tiện ích mở rộng video HEVC) và CVE-2020-1668 (Bộ giải mã video DTV-DVD của Microsoft).
Nhìn chung, bản vá lỗi cập nhật bảo mật tháng 1/2021 bao gồm những bản vá cho chín sản phẩm là Microsoft Windows, Visual Studio, trình duyệt Edge, ChakraCore, Microsoft Malware Protection Engine, ASP .NET, .NET Core, Azure và Office và Dịch vụ Microsoft Office và Ứng dụng web.
