Bản vá tháng 6/2023 của Microsoft, với các bản cập nhật bảo mật cho 78 lỗi, bao gồm 38 lỗ hổng thực thi mã từ xa.
Trong khi ba mươi tám lỗi RCE đã được sửa, Microsoft chỉ liệt kê 6 lỗ hổng là ‘Nghiêm trọng’, bao gồm các cuộc tấn công từ chối dịch vụ, thực thi mã từ xa và nâng cao đặc quyền.
Số lượng lỗi trong mỗi loại lỗ hổng được liệt kê dưới đây:
- 17 lỗ hổng leo thang đặc quyền
- 3 lỗ hổng vượt qua tính năng bảo mật
- 32 lỗ hổng thực thi mã từ xa
- 5 lỗ hổng tiết lộ thông tin
- 10 lỗ hổng từ chối dịch vụ
- 10 lỗ hổng mạo danh
- 1 lỗ hổng trong trình duyệt Edge – Chromium
Danh sách này không bao gồm 16 lỗ hổng Microsoft Edge đã được khắc phục trước đó vào ngày 2 tháng 6 năm 2023.
Bản vá thứ ba này không sửa bất kỳ lỗ hổng zero-day nào hoặc các lỗi bị khai thác tích cực, giảm bớt một số áp lực thường thấy bởi các quản trị viên Windows trong ngày này.
Các lỗ hổng đáng chú ý
Mặc dù không có lỗ hổng zero-day nào trong Patch Tuesday tháng 6 năm 2023, nhưng có một số lỗ hổng đáng chú ý được liệt kê dưới đây:
CVE-2023-29357 – Microsoft SharePoint Server nâng cao lỗ hổng đặc quyền
Microsoft đã khắc phục lỗ hổng nâng cao đặc quyền trong Microsoft SharePoint có thể cho phép kẻ tấn công giả định đặc quyền của người dùng khác, bao gồm cả quản trị viên.
“Kẻ tấn công đã có quyền truy cập vào mã thông báo xác thực JWT giả mạo có thể sử dụng chúng để thực hiện một cuộc tấn công mạng bỏ qua xác thực và cho phép chúng truy cập vào các đặc quyền của người dùng được xác thực”, khuyến cáo của Microsoft cho biết.
CVE-2023-32031 – Lỗ hổng thực thi mã từ xa Microsoft Exchange Server
Microsoft đã vá lỗ hổng Microsoft Exchange cho phép xác thực, thực thi mã từ xa. “Kẻ tấn công cho lỗ hổng này có thể nhắm mục tiêu vào các tài khoản máy chủ trong một thực thi mã tùy ý hoặc từ xa. Là một người dùng được xác thực, kẻ tấn công có thể cố gắng kích hoạt mã độc trong ngữ cảnh tài khoản của máy chủ thông qua một cuộc gọi mạng”, lời khuyên của Microsoft cho biết.
Microsoft cũng đã phát hành nhiều bản cập nhật Microsoft Office cho các lỗ hổng, cho phép các tác nhân đe dọa sử dụng các tài liệu Excel và OneNote độc hại để thực thi mã từ xa.
Các lỗ hổng này được theo dõi là CVE-2023-33133 (Excel), CVE-2023-33133 (Excel), CVE-2023-33137 (Excel), CVE-2023-33140 (OneNote), CVE-2023-33131 (Outlook).
Lỗ hổng OneNote và Outlook yêu cầu người dùng bấm vào liên kết trong tệp hoặc email độc hại.
