Microsoft vừa phát hành bản cập nhật bảo mật Patch Tuesday, nhằm giải quyết nhiều lỗ hổng bảo mật quan trọng trong hệ điều hành Windows và các ứng dụng khác. Trong đó, Microsoft đưa ra 5 lỗ hổng có thể cho phép tin tặc tấn công máy tính của người dùng bằng cách lừa họ đến một liên kết web.
Microsoft đã thực hiện vá 5 lỗ hổng quan trọng trong Windows Graphics Component liên quan đến việc Windows gặp lỗi khi truy xuất phông chữ từ thư mục Fonts. Lỗi này gặp phải trên tất cả các phiên bản hệ điều hành Windows từ trước đến nay, bao gồm Windows 10/8.1/RT 8.1/7, Windows Server 2008/2012/2016.
Tin tặc có thể khai thác lỗ hổng này bằng cách lừa người dùng mở tập tin chứa mã độc hoặc đưa đến địa chỉ web, buộc họ tải xuống các phông chữ chứa phần mềm độc hại. Nếu mở liên kết web này ra, thiết bị của người dùng sẽ lập tức bị tin tặc tấn công và mã hóa.
Tất cả 5 lỗ hổng bảo mật trong Windows Microsoft Graphics được phát hiện và công bố bởi nhà nghiên cứu bảo mật của Flexera Software – Hossein Lotfi. Các lỗ hổng này bao gồm:
CVE-2018-1010
CVE-2018-1012
CVE-2018-1013
CVE-2018-1015
CVE-2018-1016
Windows Microsoft Graphics cũng bị ảnh hưởng bởi lỗ hổng từ chối dịch vụ khác giúp tin tặc có thể khiến hệ thống bị tấn công không phản hồi lệnh thực thi. Lỗ hổng này nằm ở quy trình Windows xử lý đối tượng trong bộ nhớ thiết bị.
Microsoft cũng tiết lộ chi tiết về một lỗ hổng RCE quan trọng khác (CVE-2018-1004) tồn tại trong Windows VBScript Engine, ảnh hưởng đến tất cả các phiên bản của Windows.
“Trong một kịch bản tấn công bằng website, tin tặc có thể lưu trữ mã độc và phần mềm độc hại trên một trang web được thiết kế đặc biệt để khai thác lỗ hổng thông qua Internet Explorer và việc tiếp theo là thuyết phục người dùng truy cập vào. Kẻ tấn công cũng có thể đưa vào bảng điều khiển ActiveX nhằm xác định một ứng dụng hoặc tập tin Microsoft Office là an toàn khi tải về bằng trình duyệt IE”, Microsoft giải thích.
Bên cạnh đó, Microsoft cũng vá nhiều lỗ hổng trong việc thực thi mã lệnh trong Microsoft Office và Microsoft Excel, nơi mà tin tặc thường khai thác để tấn công và điều khiển các mục tiêu.
Bản cập nhật bảo mật này cũng bao gồm các bản vá cho 6 lỗ hổng trong Adobe Flash Player, 3 trong số đó được đánh giá là nghiêm trọng.
Các lỗi còn lại ở danh sách CVE tồn tại trong Windows, Microsoft Office, Internet Explorer, Microsoft Edge, ChakraCore, Malware Protection Engine, Microsoft Visual Studio, và Microsoft Azure IoT SDK cùng với Adobe Flash Player.
Người dùng nên cài đặt bản vá lỗi càng sớm càng tốt để giúp ngăn chặn tin tặc tấn công, mã hóa và chiếm quyền điều khiển thiết bị.
Để cài đặt bản cập nhật bảo mật, bạn chỉ cần vào Settings > Update & Security > Windows Update, sau đó kiểm tra các bản cập nhật và cài đặt bản vá lỗi.
Theo The Hacker News