Người Dùng Apple Cần Cập Nhật iOS Ngay Bây Giờ để Khắc Phục Các Lỗ Hổng Nghiêm Trọng

Tháng Hai đã là một tháng lớn đối với các bản cập nhật bảo mật, với sự xuất hiện của Apple, Microsoft và Google để phát hành các bản vá để sửa những lỗ hổng nghiêm trọng. Trong khi đó, nhiều lỗi doanh nghiệp đã được các công ty như VMware, SAP và Citrix giải quyết.

Những lỗ hổng được sửa trong tháng bao gồm nhiều lỗ hổng đang được sử dụng trong các cuộc tấn công thực tế, vì vậy đây là điều quan trọng để kiểm tra xem phần mềm của bạn có được cập nhật hay không.

Dưới đây là mọi thứ bạn cần biết về các bản cập nhật bảo mật phát hành trong tháng này.

Chỉ vài tuần sau khi phát hành iOS 16.3, Apple đã phát hành iOS và iPadOS 16.3.1—một bản vá khẩn cấp để sửa các lỗ hổng bao gồm một lỗ hổng trong trình duyệt WebKit đã bị tận dụng trong các cuộc tấn công.

Được theo dõi dưới dạng CVE-2023-23529, lỗ hổng đã bị tận dụng có thể dẫn đến việc thực thi mã tùy ý, Apple cảnh báo trên trang hỗ trợ của mình. “Apple nhận thức về một báo cáo cho rằng vấn đề này có thể đã được khai thác một cách tích cực,” công ty thêm vào. Một lỗ hổng khác được vá trong iOS 16.3.1 nằm trong Kernel tại trái tim của hệ điều hành iPhone. Lỗ hổng này, được theo dõi dưới dạng CVE-2023-23514, có thể cho phép một kẻ tấn công thực thi mã tùy ý với đặc quyền Kernel.

Cuối tháng, Apple ghi lại một lỗ hổng khác được sửa trong iOS 16.3.1, CVE-2023-23524. Được báo cáo bởi David Benjamin, một kỹ sư phần mềm tại Google, lỗ hổng có thể kích hoạt một cuộc tấn công từ chối dịch vụ thông qua một chứng chỉ được tạo một cách độc hại.

Apple cũng phát hành macOS Ventura 13.2.1, tvOS 16.3.2 và watchOS 9.3.1 trong tháng.

Vào giữa tháng Hai, Microsoft cảnh báo rằng Patch Tuesday của họ đã sửa 76 lỗ hổng bảo mật, trong đó có ba lỗ hổng đã được sử dụng trong các cuộc tấn công. Bảy trong số những lỗ hổng này được đánh dấu là quan trọng, theo hướng dẫn cập nhật của Microsoft.

Được theo dõi dưới dạng CVE-2023-21823, một trong những lỗ hổng nghiêm trọng nhất trong thành phần đồ họa của Windows đã được khai thác có thể cho phép một kẻ tấn công đạt được đặc quyền Hệ thống.

Một lỗ hổng khai thác khác, CVE-2023-21715, là một vấn đề vượt qua tính năng trong Microsoft Publisher, trong khi CVE-2023-23376 là một lỗ hổng tăng quyền ưu tiên trong trình điều khiển hệ thống ghi log thông thường của Windows.

Đó là rất nhiều lỗ hổng zero-day được sửa trong một bản phát hành, vì vậy hãy xem đó là một gợi ý để cập nhật hệ thống của bạn dựa trên Microsoft ngay lập tức.

Bản cập nhật bảo mật tháng Hai của Android đã đến, sửa nhiều lỗ hổng trên các thiết bị chạy phần mềm điện thoại thông minh của ông lớn công nghệ này. Trong số những vấn đề nghiêm trọng nhất là một lỗ hổng bảo mật trong thành phần Framework có thể dẫn đến việc tăng quyền địa phương mà không cần thêm quyền, Google lưu ý trong một hướng dẫn.

Trong số những vấn đề được sửa trong Framework, có tám được đánh giá có tác động lớn. Trong khi đó, Google đã giải quyết sáu lỗi trong Kernel, cũng như các lỗ hổng trong các thành phần System, MediaTek và Unisoc.

Trong tháng, Google vá nhiều lỗ hổng tăng quyền đặc quyền, cũng như lỗ hổng tiết lộ thông tin và lỗ hổng từ chối dịch vụ. Công ty cũng phát hành một bản vá cho ba vấn đề bảo mật cụ thể của Pixel. Bản vá tháng Hai của Android đã sẵn có cho các thiết bị Pixel của Google, trong khi Samsung nhanh chóng phát hành cập nhật cho người dùng dòng Galaxy Note 20 của mình.

Google đã phát hành Chrome 110 cho trình duyệt của mình, sửa 15 lỗ hổng bảo mật, trong đó có ba được đánh giá có tác động lớn. Được theo dõi dưới dạng CVE-2023-0696, lỗi đầu tiên trong số này là một lỗi nhầm lẫn loại trong trình điều khiển JavaScript V8, Google viết trong một hướng dẫn bảo mật.

Trong khi đó, CVE-2023-0697 là một lỗ hổng cho phép triển khai không đúng trong chế độ toàn màn hình, và CVE-2023-0698 là một lỗ hổng đọc ngoài giới hạn trong WebRTC. Bốn lỗ hổng có độ nghiêm trọng trung bình bao gồm việc sử dụng sau khi miễn phí trong GPU, một lỗ hổng tràn bộ đệm dòng trong WebUI, và một lỗ hổng nhầm lẫn loại trong Truyền dữ liệu. Hai lỗ hổng khác được đánh giá có tác động thấp.

Không có zero day nào được biết đến trong bản vá Chrome tháng Hai, nhưng vẫn là một ý tưởng tốt để cập nhật phần mềm Google của bạn ngay khi có thể.

Trình duyệt Firefox, đối thủ của Chrome được Mozilla chú trọng đến quyền riêng tư, đã nhận được một bản vá trong tháng Hai để sửa 10 lỗ hổng mà nó đánh giá có độ nghiêm trọng cao. CVE-2023-25730 là một cuộc chiếm đoạt màn hình thông qua chế độ toàn màn hình của trình duyệt. “Một kịch bản nền gọi requestFullscreen và sau đó chặn luồng chính có thể buộc trình duyệt vào chế độ toàn màn hình vô thời hạn, dẫn đến khả năng gây nhầm lẫn hoặc tấn công làm giả mạo người dùng,” Mozilla cảnh báo.

Trong khi đó, các nhà phát triển của Mozilla đã sửa nhiều lỗi an toàn bộ nhớ trong Firefox 110. “Một số lỗi này đã cho thấy dấu hiệu của sự hủy hoại bộ nhớ và chúng tôi giả định rằng với đủ nỗ lực một số trong số này có thể đã được khai thác để chạy mã tùy ý,” Mozilla viết.

Nhà sản xuất phần mềm doanh nghiệp VMWare đã phát hành một bản vá cho một lỗ hổng châm nhập ảnh hưởng đến VMware Carbon Black App Control. Được theo dõi dưới dạng CVE-2023-20858, lỗ hổng đã được đánh giá là quan trọng với điểm CVSSv3 cơ bản tối đa là 9.1. “Một đối tác độc hại có quyền truy cập đặc quyền vào bảng điều khiển quản trị App Control có thể sử dụng đầu vào được tạo đặc biệt để truy cập vào hệ điều hành máy chủ cơ sở,” VMWare nói.

Một bản vá VMware khác đã được phát hành để sửa một lỗ hổng XML External Entity ảnh hưởng đến VMware vRealize Orchestrator có thể dẫn đến leo thang đặc quyền. Được theo dõi dưới dạng CVE-2023-20855, lỗ hổng được đánh giá là quan trọng, với điểm CVSSv3 cơ bản tối đa là 8.8.

Tháng Hai đã là một tháng bận rộn cho Citrix, đã phát hành các bản vá để sửa một số lỗ hổng bảo mật nghiêm trọng. Các vấn đề được vá trong tháng này bao gồm CVE-2023-24483, ảnh hưởng đến Citrix Virtual Apps và Desktops Windows VDA. “Một lỗ hổng đã được xác định và, nếu khai thác, có thể dẫn đến một người dùng cấp địa phương tăng cấp độ đặc quyền của họ lên NT AUTHORITY\SYSTEM trên một Citrix Virtual Apps và Desktops Windows VDA,” Citrix cảnh báo trong một hướng dẫn.

Trong khi đó, Citrix xác định hai lỗ hổng có thể cho phép một người dùng Windows tiêu chuẩn thực hiện các hoạt động như System trên một máy tính chạy Citrix Workspace, được theo dõi dưới dạng CVE-2023-24484 và CVE-2023-24485.

Một lỗ hổng bảo mật khác trong ứng dụng Citrix Workspace cho Linux, CVE-2023-24486, có thể cho phép một người dùng địa phương độc hại truy cập phiên Citrix Virtual Apps và Desktops của người dùng khác.

Không cần phải nói rằng nếu bạn là người dùng Citrix, hãy đảm bảo áp dụng các bản vá cho hệ thống bị ảnh hưởng của bạn.

SAP đã phát hành 21 ghi chú bảo mật mới như một phần của Ngày Vá Tháng Hai, trong đó có năm được xếp hạng cao ưu tiên. Được theo dõi dưới dạng CVE-2023-24523, lỗ hổng nghiêm trọng nhất trong những lỗ hổng mới được vá là lỗ hổng leo thang đặc quyền trong Dịch vụ Khởi động SAP với một điểm CVSS là 8.8.

Bằng cách tận dụng vấn đề này, một người dùng xác minh không phải là quản trị viên có quyền truy cập cục bộ vào một cổng máy chủ được gán cho Dịch vụ SAP Host Agent có thể gửi một yêu cầu dịch vụ web được tạo đặc biệt với một lệnh hệ điều hành tùy ý, công ty an ninh Onapsis đã cảnh báo. Lệnh này được thực hiện với đặc quyền quản trị và có thể ảnh hưởng đến tính bảo mật, tính toàn vẹn và khả năng sẵn có của hệ thống, họ nói.

Hai Ghi chú Ưu Tiên Cao còn lại ảnh hưởng đến khách hàng SAP BusinessObjects, vì vậy nếu bạn sử dụng hệ thống của công ty phần mềm này, hãy vá ngay lập tức.