Hủy
Đối tác
Thông tin

Các lỗ hổng bảo mật được công bố và sự kiện an ninh mạng đáng chú ý trong tháng 1

Các lỗ hổng bảo mật được công bố và sự kiện an ninh mạng đáng chú ý trong tháng 1

Tác giả: [email protected]
16:05 05/02/2025
Theo dõi trên

I. Các lỗ hổng bảo mật được công bố trong tháng 1/2025

1. Microsoft

Trong tháng 01/2025, Microsoft đã tung ra các bản cập nhật bảo mật nhằm khắc phục 159 lỗ hổng, trong đó có 58 lỗ hổng thực thi mã từ xa và 8 lỗ hổng zero-days. Các bản vá lần này đã xử lý 12 lỗ hổng nghiêm trọng, bao gồm các lỗ hổng tiết lộ thông tin, nâng cao đặc quyền và thực thi mã từ xa.

Số lượng lỗ hổng theo từng loại như sau:

  • 40 lỗ hổng nâng cao đặc quyền (Elevation of Privilege Vulnerabilities)
  • 14 lỗ hổng bỏ qua tính năng bảo mật (Security Feature Bypass Vulnerabilities)
  • 58 lỗ hổng thực thi mã từ xa (Remote Code Execution Vulnerabilities)
  • 24 lỗ hổng tiết lộ thông tin (Information Disclosure Vulnerabilities)
  • 20 lỗ hổng tấn công từ chối dịch vụ (Denial of Service Vulnerabilities)
  • 5 lỗ hổng giả mạo (Spoofing Vulnerabilities)

Trong bản vá tháng này, Microsoft đã xử lý 3 lỗ hổng zero-day đang bị khai thác tích cực và 5 lỗ hổng zero-day đã được công khai. Microsoft định nghĩa lỗ hổng zero-day là lỗ hổng đã được công khai hoặc đang bị khai thác trước khi có bản sửa lỗi chính thức.

Các lỗ hổng zero-day đang bị khai thác tích cực trong bản cập nhật lần này là:

CVE-2025-21333, CVE-2025-21334, CVE-2025-21335 - Lỗ hổng nâng cao đặc quyền trong Windows Hyper-V NT Kernel Integration VSP (Windows Hyper-V NT Kernel Integration VSP Elevation of Privilege Vulnerability)

  • Microsoft đã khắc phục ba lỗ hổng nâng cao đặc quyền trong Windows Hyper-V, những lỗ hổng này đã bị khai thác trong các cuộc tấn công để giành quyền **SYSTEM** trên các thiết bị Windows.
  • Không có thông tin nào được công bố về cách các lỗ hổng này bị khai thác trong các cuộc tấn công, và tất cả các lỗ hổng đều được tiết lộ một cách ẩn danh.
  • Do các CVE của ba lỗ hổng này có mã số liên tiếp và thuộc cùng một tính năng, chúng có thể đã được phát hiện hoặc sử dụng thông qua cùng một cuộc tấn công.

Các lỗ hổng zero-day đã được công khai bao gồm:

CVE-2025-21275 - Windows App Package Installer Elevation of Privilege Vulnerability

  • Microsoft đã khắc phục lỗ hổng nâng cao đặc quyền trong Windows App Package Installer, có thể dẫn đến việc chiếm quyền SYSTEM.
  • "Kẻ tấn công nếu khai thác thành công lỗ hổng này có thể giành quyền SYSTEM", theo thông báo từ Microsoft.
  • Lỗ hổng này được gửi đến Microsoft một cách ẩn danh.

CVE-2025-21308 - Windows Themes Spoofing Vulnerability

  • Microsoft đã khắc phục lỗ hổng trong Windows Theme, có thể bị khai thác chỉ bằng cách hiển thị một tệp Theme được chế tạo đặc biệt trong Windows Explorer.
  • "Kẻ tấn công sẽ phải thuyết phục người dùng tải tệp độc hại vào hệ thống dễ bị tấn công, thường thông qua email hoặc tin nhắn trên phần mềm nhắn tin tức thời, và sau đó thuyết phục người dùng thao tác trên tệp này mà không nhất thiết phải nhấp vào hoặc mở tệp độc hại."
  • Lỗ hổng này được phát hiện bởi Blaz Satler từ 0patch by ACROS Security, đây là một cách vượt qua lỗ hổng trước đó được theo dõi là CVE-2024-38030.
  • Lỗ hổng này đã được 0patch phát hành các micropatches vào tháng 10, trong khi chờ Microsoft khắc phục.
  • Lỗ hổng này cho phép gửi thông tin xác thực NTLM của người dùng khi xem tệp Theme trong Windows Explorer. Điều này có thể bị lợi dụng trong các cuộc tấn công pass-the-hash.

CVE-2025-21186, CVE-2025-21366, CVE-2025-21395 - Microsoft Access Remote Code Execution Vulnerability

  • Microsoft đã khắc phục ba lỗ hổng thực thi mã từ xa trong Microsoft Access, có thể bị khai thác khi mở các tài liệu Microsoft Access được chế tạo đặc biệt.
  • Microsoft đã giảm thiểu sự cố này bằng cách chặn truy cập vào các tài liệu Microsoft Access nếu chúng được gửi qua email, bao gồm các định dạng accdb, accde, accdw, accdt, accda, accdr, accdu.
  • Những lỗ hổng này được phát hiện bởi Unpatched.ai, một nền tảng phát hiện lỗ hổng sử dụng AI.

FPT Cloud khuyến cáo người dùng nào đã và đang sử dụng các sản phẩm nào của Microsoft mà có khả năng nằm trong các phiên bản chứa lỗ hổng trên thì nên thực hiện theo khuyến nghị của Microsoft để tránh bị nhắm tới trong các cuộc tấn công mạng.

Danh sách dưới đây liệt kê 16 lỗ hổng đã có bản vá trong tháng 12 được đánh giá ở mức độ nghiêm trọng:

Tag CVE ID CVE Title Severity
Azure Marketplace SaaS Resources CVE-2025-21380 Azure Marketplace SaaS Resources Information Disclosure Vulnerability Critical
BranchCache CVE-2025-21296 BranchCache Remote Code Execution Vulnerability Critical
Microsoft Digest Authentication CVE-2025-21294 Microsoft Digest Authentication Remote Code Execution Vulnerability Critical
Microsoft Office Excel CVE-2025-21362 Microsoft Excel Remote Code Execution Vulnerability Critical
Microsoft Office Excel CVE-2025-21354 Microsoft Excel Remote Code Execution Vulnerability Critical
Microsoft Purview CVE-2025-21385 Microsoft Purview Information Disclosure Vulnerability Critical
Reliable Multicast Transport Driver (RMCAST) CVE-2025-21307 Windows Reliable Multicast Transport Driver (RMCAST) Remote Code Execution Vulnerability Critical
Windows NTLM CVE-2025-21311 Windows NTLM V1 Elevation of Privilege Vulnerability Critical
Windows OLE CVE-2025-21298 Windows OLE Remote Code Execution Vulnerability Critical
Windows Remote Desktop Services CVE-2025-21309 Windows Remote Desktop Services Remote Code Execution Vulnerability Critical
Windows Remote Desktop Services CVE-2025-21297 Windows Remote Desktop Services Remote Code Execution Vulnerability Critical
Windows SPNEGO Extended Negotiation CVE-2025-21295 SPNEGO Extended Negotiation (NEGOEX) Security Mechanism Remote Code Execution Vulnerability Critical
  • Chi tiết về từng loại lỗ hổng và bản vá có thể xem thêm tại Tuesday Patch & paper

2. Linux

Lỗ hổng liên quan đến việc không khởi tạo giá trị msg_inq trong quá trình xử lý I/O với io_uring. Khi giá trị này không được khởi tạo từ đầu, nó có thể dẫn đến việc sử dụng dữ liệu không xác định trong trường hợp nhận không thành công hoặc mạng không xử lý đúng yêu cầu. Điều này có thể gây ra hành vi không mong muốn hoặc sai lệch trong các gợi ý nhận dữ liệu sau đó.
a
Lỗ hổng xuất hiện do việc tắt tính năng hardware offload cho các gói IPv6 có tiêu đề mở rộng (IPv6 Extension Header) trên các thiết bị hỗ trợ NETIF_F_IPV6_CSUM. Điều này gây ra cảnh báo khi xử lý các gói BIG TCP có tiêu đề mở rộng IPv6, làm gián đoạn việc hỗ trợ gói jumbogram trên IPv6.
a
  • CVE-2024-57903: Lỗ Hổng Liên Quan Đến Tùy Chọn SO_REUSEPORT
Lỗ hổng này liên quan đến việc sử dụng tùy chọn SO_REUSEPORT trên các socket không phải là inet, bao gồm cả socket crypto. Sau khi thực hiện một cam kết mã bị lỗi, các socket crypto có thể bị hủy bất hợp pháp từ một cuộc gọi lại RCU, điều này không được phép vì việc cố gắng truy cập một mutex trong callback RCU sẽ gây lỗi. Vấn đề này đã được phát hiện bởi công cụ zyzbot. Khi xảy ra lỗi, có thể thấy các cảnh báo như: BUG: sleeping function called from invalid context; Preemption disabled trong khi xử lý RCU.
a
  • CVE-2024-56759: Lỗ Hổng "Use-After-Free" Khi Thực Hiện COW trên Btrfs
Lỗ hổng này xảy ra khi thực hiện COW (Copy-On-Write) trên các khối cây (tree blocks) trong hệ thống tệp Btrfs với tính năng theo dõi (tracing) được kích hoạt và cấu hình CONFIG_PREEMPT=y. Khi thực hiện gọi hàm btrfs_cow_block() trong một số luồng như btrfs_search_slot(), nếu đang giữ tham chiếu cuối cùng tới một buffer (vùng đệm) mở rộng, thì việc giải phóng buffer này thông qua free_extent_buffer_stale(buf) có thể kích hoạt giải phóng RCU (Read-Copy-Update). Tuy nhiên, khi hệ thống sử dụng kernel với tính năng preemption, tác vụ hiện tại có thể bị gián đoạn trước khi gọi tracepoint trace_btrfs_cow_block(). Điều này dẫn đến tình trạng use-after-free, trong đó tracepoint cố gắng truy cập vào buffer đã bị giải phóng, gây ra lỗi nghiêm trọng.
a
FPT Cloud khuyến cáo người dùng nếu đang sử dụng các phiên bản ứng dụng bị ảnh hưởng bởi các lỗ hổng trên thì nhanh chóng nâng cấp lên các bản vá mới nhất.
a
  • Chi tiết về các lỗ hổng có thể xem tại ĐÂY

3. VMware

VMware Công Bố Lỗ Hổng Server-Side Request Forgery (CVE-2025-22215)
a
  • VMware Aria Automation chứa một lỗ hổng Server-Side Request Forgery (SSRF) được đánh giá với mức độ nghiêm trọng trung bình (CVSSv3: 4.3). Lỗ hổng này cho phép kẻ tấn công có quyền "Organization Member" lợi dụng để liệt kê các dịch vụ nội bộ đang chạy trên máy chủ hoặc mạng.
  • Một kẻ tấn công có quyền truy cập hạn chế nhưng có đủ quyền "Organization Member" trong VMware Aria Automation có thể khai thác lỗ hổng này để dò tìm thông tin về các dịch vụ nội bộ, dẫn đến rủi ro về an ninh và tiềm ẩn nguy cơ tấn công sâu hơn vào hệ thống.
FPT Cloud khuyến cáo người dùng nếu đang sử dụng các phiên bản ứng dụng bị ảnh hưởng bởi các lỗ hổng trên thì nhanh chóng nâng cấp lên các bản vá mới nhất.
a
  • Chi tiết về các bản vá có thể xem tại ĐÂY

II. Một số sự kiện an ninh mạng đáng chú ý

1. Nhà nghiên cứu phát hiện ra những lỗi nghiêm trọng trong nhiều phiên bản của Ivanti Endpoint Manager

Ivanti đã phát hành các bản cập nhật bảo mật để vá nhiều lỗ hổng nghiêm trọng trong Avalanche, Application Control Engine và Endpoint Manager (EPM). Bốn lỗ hổng nghiêm trọng trong EPM, gồm CVE-2024-10811, CVE-2024-13161, CVE-2024-13160, và CVE-2024-13159, được đánh giá 9.8/10 CVSS, cho phép kẻ tấn công từ xa truy cập thông tin nhạy cảm. Các phiên bản bị ảnh hưởng là EPM 2024 November Security Update và 2022 SU6 November Security Update; đã được vá trong các bản cập nhật tháng 1/2025.
a
Ngoài ra, Ivanti cũng vá các lỗi nghiêm trọng trong Avalanche (trước phiên bản 6.4.7) và Application Control Engine (trước phiên bản 10.14.4.0) có thể cho phép bỏ qua xác thực, truy cập trái phép và vượt qua chức năng chặn ứng dụng. Hiện chưa có bằng chứng các lỗ hổng này bị khai thác trong thực tế.
a
Cùng lúc, SAP cũng vá hai lỗ hổng nghiêm trọng (CVE-2025-0070 và CVE-2025-0066, CVSS: 9.9) trên NetWeaver ABAP Server và ABAP Platform, cho phép kẻ tấn công leo thang đặc quyền và truy cập dữ liệu hạn chế.
a
  • Thông tin chi tiết hơn xem thêm tại ĐÂY
Sao lưu dữ liệu của doanh nghiệp với dịch vụ của FPT Cloud ngay hôm nay để đối phó với các cuộc tấn công mạng nguy hiểm.
a

2. Phần mềm độc hại IOCONTROL mới được sử dụng trong các cuộc tấn công cơ sở hạ tầng quan trọng

Các nhà nghiên cứu bảo mật đã phát hiện một cuộc tấn công sử dụng backdoor viết bằng Python để duy trì quyền truy cập trên các endpoint bị xâm nhập, sau đó triển khai ransomware RansomHub trên mạng mục tiêu.
  • Phương thức tấn công: Bắt đầu từ mã độc JavaScript SocGholish (FakeUpdates), được phân phối qua các chiến dịch drive-by thông qua các trang web bị nhiễm độc hoặc SEO mũ đen. Mã độc này tải payload phụ, bao gồm backdoor Python, sau khi kết nối với server điều khiển (C2).
  • Hoạt động backdoor: Dựa trên giao thức SOCKS5, giúp kẻ tấn công di chuyển ngang qua mạng bằng các phiên RDP, sử dụng thiết bị bị nhiễm làm proxy.
  • Tấn công khác: RansomHub cũng triển khai các công cụ như EDRSilencer (vô hiệu hóa bảo vệ), LaZagne (đánh cắp mật khẩu), và MailBruter (brute-force tài khoản email).
Hoạt động đáng chú ý:
  • RansomHub: Mã Python được viết tốt với khả năng ẩn mình, tận dụng AI để cải tiến.
  • AWS: Tội phạm lợi dụng khóa AWS công khai để mã hóa dữ liệu S3, gây khó phục hồi nếu nạn nhân không trả tiền chuộc.
  • Phishing: Kỹ thuật email bombing giả danh Black Basta, sử dụng phần mềm điều khiển từ xa (TeamViewer/AnyDesk) để xâm nhập sâu hơn.
FPT Cloud khuyến nghị khách hàng cập nhật phần mềm, kiểm tra bảo mật endpoint và áp dụng các biện pháp phòng ngừa phishing hiệu quả.
a
  • Thông tin chi tiết hơn xem thêm tại ĐÂY
Sử dụng ngay Dịch vụ bảo mật tường lửa thế hệ mới để bảo vệ dữ liệu doanh nghiệp khỏi các cuộc tấn công mạng tinh vi.
Các lỗ hổng bảo mật được công bố và sự kiện an ninh mạng đáng chú ý trong tháng 1

Có thể bạn quan tâm

1.
Xu hướng phát triển của Ransomware và những hệ quả đối với doanh nghiệp
2.
VDI và RDS – Giải pháp nào phù hợp cho doanh nghiệp của bạn
3.
VDI có thể bảo vệ dữ liệu doanh nghiệp khỏi các rủi ro bảo mật?
4.
VDI – Giải pháp bứt phá cho các tổ chức tài chính, ngân hàng
Xem thêm >
block right

Có thể bạn quan tâm

Xu hướng phát triển của Ransomware và những hệ quả đối với doanh nghiệp
10:10 20/08/2024
VDI và RDS – Giải pháp nào phù hợp cho doanh nghiệp của bạn
14:58 11/09/2021
VDI có thể bảo vệ dữ liệu doanh nghiệp khỏi các rủi ro bảo mật?
17:06 25/08/2021
VDI – Giải pháp bứt phá cho các tổ chức tài chính, ngân hàng
10:39 28/09/2021