Microsoft vá 34 lỗ hổng bảo mật

[Khanh Khanh]

MICROSOFT VÁ 34 LỖ HỔNG BẢO MẬT

Hôm qua Microsoft đã phát hành gói cập nhật bảo mật lớn nhất từ trước đến nay bao gồm 13 bản vá vá 34 lỗ hổng trong các phiên bản hệ điều hành Windows, gồm cả lỗ hổng trong hệ điều hành chưa được tung ra thị trường – Windows 7, và những lỗ hổng trong Internet Explorer, Office, SQL Server và nhiều phần mềm khác.

34 lỗ hổng này cũng là con số lỗ hổng bảo mật kỉ lục của Microsoft kể từ khi Microsoft thực hiện vá định kỳ hàng tháng (từ năm 2003). Mức kỉ lục cũ được Microsoft thiết lập vào tháng 12 năm ngoái với con số lỗ hổng được vá lên tới 28.

Đề cập tới đối thủ cạnh tranh trong thị phần hệ điều hành của Microsoft (thường phát hành các bản cập nhật bảo mật với rất nhiều bản vá), ông Andrew Storms, giám đốc điều hành bảo mật của nCircle Network Security, nói “Với những người dùng Apple thì điều này không có gì đáng ngạc nhiên. Tuy nhiên, đây chắc chắn là một tháng đáng nhớ của Microsoft.”

Microsoft đánh giá 8 trong số 13 bản cập nhật và 21 trong số 34 lỗ hổng ở mức critical – rất nguy hiểm, mức cao nhất trong hệ thống đánh giá gồm 4 mức của Microsoft. Những bản cập nhật còn lại được đánh giá ở mức important – nguy hiểm, ở mức thứ 3 trong thang đánh giá, trong khi đó 9 trong số các lỗ hổng còn lại cũng được đánh giá là important, và 4 lỗ hổng còn lại được đánh giá ở mức độ moderate – trung bình.

Trong số những bản vá được phát hành vào ngày hôm qua, có một số bản vá được sử dụng để vá lỗ hổng Zero-day mà mã khai thác đã được phát tán. Một trong số những lỗ hổng Zero-day đã không được phát hiện cho tới ngày hôm qua.

Microsoft đã vá ba lỗ hổng trong SMB 2 (Server Message Block), một giao thức chia sẻ in và file qua mạng do Microsoft phát triển được tích hợp trong hệ điều hành Windows, hai lỗ hổng trong máy chủ FTP được tích hợp trong các phiên bản cũ của máy chủ Web IIS (Internet Information Services), và hai lỗ hổng trong Windows Media Runtime. Những lỗ hổng trong SMB 2 và IIS đã được người dùng biết đến từ đầu tháng 9, tuy nhiên những lỗ hổng trong Windows Media Runtime bao gồm một lỗi mà Microsoft cho biết là đã bị khai thác nhưng không làm lộ ra nguồn công cộng thường dùng như danh sách mail bảo mật.

Vì lí do đó, Storms khuyên người dùng nên sử dụng bản cập nhật MS09-051 để vá những lỗ hổng trong Windows Media ngay khi có thể. Ông nói “Trước tiên, cần triển khai bản cập nhật MS09-051 ngay lập tức. Chúng ta đã biết rằng lỗ hổng này đang bị khai thác. Quan trọng hơn, nó có thể bị khai thác trong những cuộc tấn công chiếm quyền điều khiển để buộc người dùng truy cập vào các trang Web độc hại.”

Đầu tháng trước, Microsoft đã xác nhận về lỗ hổng trong SMB 2, dù mã tấn công đã được phát tán nhưng theo các nhà nghiên cứu bảo mật thì không có cuộc tấn công thực sự nào được tiến hành. Lỗ hổng này ảnh hưởng tới Windows Vista, Windows Server 2008 và những phiên bản thử nghiệm của Windows 7, nhưng không ảnh hưởng tới phiên bản dự kiến được tung ra vào tuần tới.

Mặt khác, lỗ hổng FTP được Microsoft phát hiện vào ngày 1 tháng 9 khi công ty này xác nhận rằng nhóm bảo mật đang điều tra mã tấn công được phát tán vào ngày 31 tháng 8.

Hôm qua, Microsoft cũng đã vá khá nhiều lỗ hổng xuất phát từ lỗi lập trình trong thư viện mã ATL (Active Template Library). Microsoft cho biết họ đã phát hiện lỗi này từ mùa hè năm ngoái. Hôm qua, ba lỗ hổng trong Office liên quan tới ATL đã được vá, đồng thời vá các lỗ hổng trong ActiveX Controls cho Windows Live Mail, công cụ Upload ảnh trong MSN, và một trình một số trình xem tài liệu Word được Internet Explorer sử dụng để hiển thị bảng tính, biểu đồ và cơ sở dữ liệu trên Web.

Khi nói về bản cập nhật MS09-051 được sử dụng để vá 4 lỗ hổng được đánh giá ở mức rất nguy hiểm trong Internet Explorer, Storms lưu ý rằng “Hôm nay, chúng ta cũng cần phải vá Internet Explorer ngay lập tức.” Storm cho biết một trong số 4 lỗ hổng này đã được công bố tại hội nghị bảo mật Black Hat được tổ chức cuối tháng 7 vừa qua.

Trong gói cập nhật định kỳ ngày hôm qua Microsoft cũng đã vá 8 lỗ hổng trong GDI+ (Graphics Device Interface), một thành phần được tích hợp trong Windows XP và là một thành phần chủ chốt của Windows Vista và Windows 7 cũng như những hệ điều hành dành cho máy chủ như Windows Server 2003 và Windows Server 2008.

Tin tặc có thể khai thác các lông hổng trong GDI+ bằng cách gửi những file ảnh qua xử lý theo nhiều định dạng như BMP, PNG, TIFF và WMF tới người dùng qua email, hay lừa người dùng truy cập vào những trang chứa nhiều file ảnh độc. Tin tặc còn có thể sử dụng lỗ hổng này để chèn những phần mềm độc bổ sung để chiếm quyền điều khiển hệ thống hay đánh cắp dữ liệu.

Tuy nhiên Storms xem nhẹ khả năng bị khai thác của những lỗ hổng này. Ông lập luận “Những lỗ hổng audio codec trong MS09-051 sẽ dễ dàng khai thác dễ dàng hơn rất nhiều.”

Storms nói thêm “Tôi sẽ đưa hai bản cập nhật này vào phía đầu danh sách của miền công cộng (MS09-051 vá lỗ hổng trong SMB 2 và MS09-053 vá lỗ hổng FTP trong IIS). Tiếp sau đó là các bản cập nhật dành cho Internet Explorer vì những loại lỗ hổng trên máy trạm thường bị tin tặc dòm ngó nhiều nhất.”

Người dùng có thể sử dụng dịch vụ Microsoft Update, Windows Update và Windows Server Update Services để tải và cài đặt các bản cập nhật của tháng này.

[Khanh Khanh]

Danh sách 13 bản cập nhật bảo mật tháng 10/2009 của Microsoft

1. MS09-050: Bản cập nhật vá lỗ hổng trên hệ điều hành Windows Server 2008 và Windows Vista cho phép tin tặc xâm nhập vào hệ thống và chiếm quyền điều khiển (KB975517).

2. MS09-051: Vá lỗ hổng mà tin tặc khai thác để xâm nhập và chiếm quyền điều khiển hệ thống Windows Server 2003, Windows XP và Windows 2000 (KB969878).

3. MS09-051: Bản cập nhật dành cho Windows Server 2003, Windows XP và Windows 2000 (KB975025). Tin tặc có thể khai thác các lỗ hổng trên những hệ điều hành này để chiếm quyền kiểm soát hệ thống.

4. MS09-051: Bản cập nhật Windows Media Format Runtime cho Windows Server 2008, Windows Vista, Windows Server 2003, Windows XP, và Windows 2000 (KB954155).

5. MS09-052: Bản cập nhật bảo mật dành cho Windows Server 2003, Windows XP và Windows 2000 (KB974112).

6. MS09-053: Bản cập nhật bảo mật dành cho Windows Server 2008, Windows Vista, Windows Server 2003, Windows XP, và Windows 2000 (KB975254).

7. MS09-054: Bản cập nhật bảo mật tổng hợp dành cho Internet Explorer của Windows.

8. MS09-054: Bản cập nhật bảo mật dành cho phiên bản Internet Explorer 8 của Windows 7 và Windows Server 2008 R2 (KB974455).

9. MS09-055: Bản cập nhật bảo mật tổng hợp ActiveX Killbits dành cho Windows Server 2008, Windows Vista, Windows Server 2003, Windows XP, và Windows 2000 (KB973525).

10. MS09-055: Bản cập nhật bảo mật ActiveX Killbits cho Windows 7 và Windows Server 2008 R2 (KB973525).

11. MS09-056: Cập nhật bảo mật cho hệ điều hành Windows (KB974571).

12. MS09-057: Cập nhật bảo mật cho Windows Server 2003, Windows XP,và Windows 2000 (KB969059).

13. MS09-058: Bản cập nhật bảo mật cho Windows Server 2008, Windows Vista, Windows Server 2003, Windows XP, và Windows 2000 (KB971486).

14. MS09-059: Bản cập nhật bảo mật dành cho Windows 7, Windows Server 2008, Windows Server 2008 R2, Windows Vista, Windows Server 2003, và Windows XP (KB975467).

15. MS09-061: Bản cập nhật bảo mật Microsoft .NET Framework 2.0 Service Pack 2 dành cho Windows Server 2008 Service Pack 2 và Windows Vista Service Pack 2 (KB974470).

16. MS09-061: Bản cập nhật Microsoft .NET Framework 1.1 Service Pack 1 cho hệ điều hành Windows (KB953297).

17. MS09-061: Bản cập nhật bảo mật Microsoft .NET Framework 2.0 cho hệ điều hành Windows Vista (KB974468).

18. MS09-061: Bản cập nhật bảo mật Microsoft .NET Framework 2.0 Service Pack 2 dành cho Windows Server 2008 và Windows Vista Service Pack 1 (KB974469).

19. MS09-061: Bản cập nhật bảo mật Microsoft .NET Framework 2.0 Service Pack 1 cho Windows Server 2003, Windows XP, và Windows 2000 (KB953300).

20. MS09-061: Bản cập nhật bảo mật Microsoft .NET Framework 1.0 Service Pack 3 cho Windows XP Tablet PC và Media Center (KB953295).

21. MS09-061: Bản cập nhật bảo mật Microsoft .NET Framework 2.0 Service Pack 2 dành cho Windows Vista (KB974467).

22. MS09-061: Bản cập nhật bảo mật Microsoft .NET Framework 2.0 Service Pack 2 dành cho Windows Server 2003, Windows XP, và Windows 2000 (KB974417).

23. MS09-061: Bản cập nhật bảo mật Microsoft .NET Framework 2.0 Service Pack 1 cho Windows Server 2008 và Windows Vista Service Pack 1 (KB974291).

24. MS09-061: Bản cập nhật bảo mật Microsoft .NET Framework 2.0 Service Pack 1 cho Windows Vista (KB974292).

25. MS09-062: Bản cập nhật bảo mật Microsoft .NET Framework 1.1 Service Pack 1 cho Windows 2000 (KB971108).

26. MS09-062: Bản cập nhật Microsoft .NET Framework 2.0 Service Pack 1 cho Windows 2000 (KB971110).

27. MS09-062: Bản cập nhật bảo mật Microsoft .NET Framework 2.0 Service Pack 2 dành cho Windows 2000 (KB971111).

28. MS09-062: Bản cập nhật bảo mật dành cho Windows Server 2008, Windows Vista, Windows Server 2003, Windows XP, và Windows 2000 (KB958869).

29. MS08-69: Bản cập nhật bảo mật Microsoft XML Core Services 4.0 Service Pack 2 cho hệ thống nền tảng Itanium (KB954430).

Ngoài ra còn một số bản sữa lỗi khác.

(Theo ComputerWorld)

[Phu sinh]

KK có thể thu thập gói vá này về đây được kg nhỉ? Bởi nhiều người ... không thể cập nhật được từ microsoft!

[Khanh Khanh]

KK có thể thu thập gói vá này về đây được kg nhỉ? Bởi nhiều người ... không thể cập nhật được từ microsoft!

KK chỉ có thể giới thiệu đến các bạn link của từng lại bản cập nhật, rồi tuỳ theo trường hợp mỗi người, chọn lựa DL và xử lý.

Chúc các bạn thành công,

*KK không hiểu sao, post ở đây bị lỗi hoài...nhiều khi nản thiệt.
*Icon "chèn liên kết" ở web này sao comp. của KK không OK để dễ dàng khi post
* Ở bài này quá trời link cho các bản cập nhật, công trình DL rồi đang up giữa chừng thì "phải login" lại, thế là "dã tràng se cát biển đông"

[Phu sinh]

KK chỉ có thể giới thiệu đến các bạn link của từng lại bản cập nhật, rồi tuỳ theo trường hợp mỗi người, chọn lựa DL và xử lý.

Chúc các bạn thành công,

*KK không hiểu sao, post ở đây bị lỗi hoài...nhiều khi nản thiệt.
*Icon "chèn liên kết" ở web này sao comp. của KK không OK để dễ dàng khi post
* Ở bài này quá trời link cho các bản cập nhật, công trình DL rồi đang up giữa chừng thì "phải login" lại, thế là "dã tràng se cát biển đông"

- Chưa hiểu lắm các lỗi KK gặp. KK có thể nói rõ hơn được không?

- Các bản cập nhật thì KK có thể up lên mediafire.com chẳng hạn rồi cho link để down chứ up thẳng lên 4rum không dược đâu!