Microsoft Patch Tuesday tháng 6/2023 vừa được phát hành với các bản cập nhật bảo mật cho 78 lỗ hổng, trong đó có 38 lỗ hổng thực thi mã từ xa. 6 lỗ hổng được xếp hạng nghiêm trọng bao gồm từ chối dịch vụ, thực thi mã từ xa và nâng cao đặc quyền. 

Số lượng các lỗ hổng gồm: 

• 17 lỗ hổng leo thang đặc quyền 

• 3 lỗ hổng vượt qua các lớp bảo mật 

• 32 lỗ hổng thực thi mã từ xa 

• 5 lỗ hổng tiết lộ thông tin 

• 10 lỗ hổng từ chối dịch vụ 

• 10 lỗ hổng giả mạo 

• 1 lỗ hổng Edge – Chromium 

Danh sách này không bao gồm 16 lỗ hổng Microsoft Edge đã được khắc phục trước đó vào ngày 2/6/2023. Patch Tuesday tháng 6 không khắc phục bất kỳ lỗ hổng zero-day nào hoặc các lỗ hổng bị khai thác tích cực. 

Một số lỗ hổng đáng chú ý gồm: 

CVE-2023-29357 –  Lỗ hổng nâng cao đặc quyền trong Microsoft SharePoint có thể cho phép tin tặc chiếm đặc quyền của người dùng khác, bao gồm cả quản trị viên. Lỗ hổng được phát hiện bởi nhà nghiên cứu Jang (Nguyễn Tiến Giang) của StarLabs SG. 

CVE-2023-32031 – Lỗ hổng trên Microsoft Exchange Server cho phép tin tặc thực thi mã từ xa. Với quyền truy cập được xác thực, tin tặc có thể kích hoạt mã độc trong ngữ cảnh của tài khoản máy chủ thông qua một cuộc gọi mạng. 

CVE-2023-3079: Lỗ hổng Type Confusion trong V8, có thể dẫn đến việc thực thi mã ở cấp độ của người dùng đã đăng nhập. Lỗ hổng này được các nhà nghiên cứu của Chrome phát hiện vào ngày 1/6 và bị khai thác tích cực trong các cuộc tấn công bằng mã độc. 

Microsoft cũng đã phát hành nhiều bản cập nhật Microsoft Office cho các lỗ hổng khác cho phép tin tặc sử dụng các tài liệu Excel và OneNote độc hại được tạo đặc biệt để thực thi mã từ xa. Các lỗ hổng này được theo dõi là CVE-2023-33133 (Excel),  CVE-2023-33137 (Excel), CVE-2023-33140 (OneNote), CVE-2023-33131 (Outlook). Các lỗ hổng OneNote và Outlook yêu cầu người dùng nhấp vào liên kết trong tệp hoặc email độc hại. 

Nguồn: Bleeping Computer, Security Affairs