您现在的位置是:Công nghệ >>正文
4 lỗ hổng trong Windows có thể bị hacker khai thác tạo chuỗi tấn công
Công nghệ861人已围观
简介Bốn lỗ hổng bảo mật tồn tại trong hệ điều hành Windows vừa được các chuyên gia bảo mật Bkav cảnh báo...
Bốn lỗ hổng bảo mật tồn tại trong hệ điều hành Windows vừa được các chuyên gia bảo mật Bkav cảnh báo rộng rãi gồm 2 lỗi thực thi mã từ xa,ỗhổngtrongWindowscóthểbịhackerkhaitháctạochuỗitấncôvô địch anh 1 lỗi leo thang đặc quyền và 1 lỗi vượt qua tính năng bảo mật Secure Boot. Đây là những lỗ hổng bảo mật nằm trong danh sách các lỗ hổng đã được Microsoft khắc phục trong bản vá tháng 5.
Cụ thể, lỗ hổng có mã định danh CVE-2023-29325 là một lỗi thực thi mã từ xa trong công nghệ OLE trên Windows, ảnh hưởng đến Outlook. Để khai thác, hacker gửi một email lừa đảo độc hại đến người dùng. Chỉ cần nạn nhân mở email bằng phần mềm Outlook, hoặc ứng dụng Outlook hiển thị bản xem thử của email, kẻ tấn công có thể thực thi mã từ xa và chiếm quyền điều khiển hoàn toàn thiết bị.
Với lỗ hổng CVE-2023-29336, đây là lỗi leo thang đặc quyền trong trình điều khiển nhân Win32k của hệ điều hành. Khai thác thành công, tin tặc có thể leo thang từ người dùng lên đặc quyền System - quyền cao nhất trong hệ điều hành, từ đó cài cắm mã độc trên thiết bị mục tiêu và duy trì quyền truy cập. Lỗ hổng hiện đang bị khai thác trong các cuộc tấn công thực tế.
Lỗ hổng CVE-2023-24932 tạo điều kiện để hacker vượt qua tính năng khởi động an toàn Secure Boot. Để khai thác, tin tặc tìm cách “nằm vùng” hoặc chiếm quyền quản trị trên thiết bị mục tiêu, từ đó cài mã độc bootkit (loại rootkit có khả năng can thiệp và thay đổi quá trình khởi động của hệ điều hành) lên firmware hệ thống. Bootkit này cho phép hacker chiếm quyền kiểm soát quá trình khởi động thiết bị, nằm vùng lâu hơn và tránh bị phát hiện bởi các giải pháp an ninh.
Các chuyên gia nhận định, nguy hiểm nhất là lỗ hổng thực thi mã từ xa CVE-2023-24941, với điểm nghiêm trọng CVSS là 9,8/10. Lỗ hổng này có thể là bàn đạp để hacker tấn công sâu vào các hệ thống khác. Lỗ hổng tồn tại trong giao thức chia sẻ tệp tin trong mạng NFS của Windows. Kẻ tấn công chưa được xác thực có thể gửi một lệnh tự tạo đặc biệt đến dịch vụ NFS, từ đó giành quyền kiểm soát các máy chủ Windows. CVE-2023-24941 ảnh hưởng đến Windows Server 2012, 2016, 2019 và 2022 và đặc biệt không yêu cầu tương tác người dùng.
Chuyên gia Bkav phân tích, trong những điều kiện lý tưởng, tin tặc có thể kết hợp 4 lỗ hổng trên để tạo thành một chuỗi tấn công. Theo đó, đầu tiên, các đối tượng lừa nạn nhân click vào email giả mạo để khai thác CVE-2023-29325, từ đó chiếm quyền thực thi mã từ xa trên thiết bị mục tiêu. Tiếp theo, chúng leo thang đặc quyền từ mức người dùng lên đặc quyền hệ thống qua CVE-2023-29336, sau đó lây nhiễm phần mềm độc hại và duy trì quyền truy cập trên thiết bị.
Khi đã nằm vùng trên thiết bị, hacker có thể khai thác tính năng bảo mật Secure Boot bằng CVE-2023-24932, cài cắm các phần mềm độc hại và duy trì sự hiện diện trên hệ thống nạn nhân. Và cuối cùng, các đối tượng lợi dụng CVE-2023-24941 để khai thác sâu vào các máy chủ Windows.
Ông Nguyễn Văn Cường, Giám đốc An ninh mạng của Bkav đánh giá, thực hiện thành công các bước tấn công, hacker có thể kiểm soát toàn bộ hệ thống, đánh cắp thông tin nhạy cảm... Đặc biệt, lỗ hổng CVE-2023-29325 khiến người dùng đứng trước nguy cơ trở thành nạn nhân của các chiến dịch lừa đảo bằng email (phishing). Việc tấn công bằng hình thức này khá dễ dàng, chi phí thấp và có thể thực hiện trên phạm vi rộng, do đó mức ảnh hưởng sẽ rất lớn.
Chuyên gia Bkav khuyến nghị người dùng cần lập tức cập nhật hệ điều hành Windows lên phiên bản mới nhất. Đồng thời, người dùng không nên mở email lạ không rõ nguồn gốc, nếu phát hiện bất thường trên hệ thống cần liên hệ đội ngũ chuyên môn để rà soát, xử lý.
Người dùng Windows tại Việt Nam cần cảnh giác với 4 lỗ hổng mới trong Microsoft ExchangeTrong số 12 lỗ hổng bảo mật mới tồn tại ở sản phẩm của Microsoft vừa được Cục An toàn thông tin cảnh báo đến các cơ quan, tổ chức, doanh nghiệp tại Việt Nam, các chuyên gia đặc biệt lưu ý 4 lỗ hổng trong Microsoft Exchange.Tags:
相关文章
Nhận định, soi kèo Abahani Chittagong vs Police FC, 15h45 ngày 17/1: Khó cho chủ nhà
Công nghệHư Vân - 16/01/2025 18:40 Nhận định bóng đá g ...
阅读更多Thời gian phản ứng khi bị tấn công chủ đích ở Việt Nam là... 27 ngày
Công nghệThống kê số lượng rò rỉ dữ liệu trong năm 2021 theo các ngành tại Việt Nam (nguồn ảnh: Tạp chí An toàn thông tin). Cùng với đó, đã có gần 100 triệu hồ sơ dữ liệu bị khai thác, lộ lọt. Ngành chịu ảnh hưởng lớn nhất là dịch vụ viễn thông với 23 triệu hồ sơ bị rò rỉ. Đặc biệt, hơn 100 nghìn tài khoản và mật khẩu trong hệ thống nội bộ trọng yếu của các tổ chức, doanh nghiệp bị đưa lên không gian mạng.
Và ngày càng xuất hiện nhiều cuộc tấn công có chủ đích, tuy nhiên, thời gian phản ứng trung bình của tổ chức, doanh nghiệp tại Việt Nam quá lâu (khoảng 27 ngày), gây nên sự mất an toàn cho hệ thống.
Đáng chú ý là những lỗ hổng cực kỳ nghiêm trọng trong hệ thống trọng yếu của các tổ chức, doanh nghiệp thuộc Chính phủ đã bị kẻ xấu lợi dụng tấn công xâm nhập như khai thác những lỗ hổng của các ứng dụng, nền tảng phổ biến, gây nhiều rủi ro cho người dùng.
H.A.H
Kinh phí là vấn đề của doanh nghiệp vừa và nhỏ khi đầu tư về bảo mật
Các cuộc tấn công mạng vào doanh nghiệp vừa và nhỏ tăng lên, mặc dù ý thức được điều đó, nhưng để triển khai một giải pháp bảo mật hoàn chỉnh các doanh nghiệp vẫn gặp khó về kinh phí.
">...
阅读更多Phối hợp ban hành hướng dẫn an toàn thông tin Hệ thống truyền thanh Internet
Công nghệMới đây tại Hà Giang đã diễn ra buổi tham quan Hệ thống thông tin nguồn (nguồn ảnh: stttt.hagiang.gov.vn). Phát biểu tại buổi làm việc, ông Hoàng Minh Tiến, Phó Cục trưởng Cục An toàn Thông tin (Bộ TT&TT) chia sẻ, tới đây sẽ phối hợp với Sở TT&TT Hà Giang nghiên cứu, kiểm thử và ban hành hướng dẫn an toàn thông tin Hệ thống truyền thanh Internet trên toàn quốc.
An toàn thông tin là yếu tố không thể thiếu. Sắp tới trong Nghị quyết về chuyển đổi số trên địa bàn tỉnh Hà Giang giai đoạn 2021-2025, định hướng đến năm 2030, các nhiệm vụ và giải pháp được đặt ra sẽ bao gồm đảm bảo an toàn thông tin.
Cụ thể, Hà Giang sẽ xây dựng và triển khai hệ thống giám sát an toàn thông tin, cảnh báo sớm nguy cơ, điều phối ứng cứu sự cố mất an toàn, an ninh mạng cho các cơ quan, tổ chức trên địa bàn tỉnh.
H.A.H
Giải bài toán bảo mật cho doanh nghiệp trong chuyển đổi số
Phương pháp Crowdsourced Security (bảo mật cộng đồng) được nhận định sẽ giúp các doanh nghiệp giải quyết vấn đề bảo mật trong bối cảnh thiếu hụt nguồn nhân lực, thông qua cách hợp tác với cộng đồng chuyên gia bảo mật độc lập và các hacker mũ trắng.
">...
阅读更多
热门文章
- Nhận định, soi kèo MU vs Brighton, 21h00 ngày 19/1: Trở lại mặt đất
- Cơ sở giáo dục đại học không còn được tự chủ việc in phôi chứng chỉ
- NSND Thu Hà, Hồng Diễm, Nhã Phương dự hôn lễ của Kim Oanh và chồng người mẫu
- Bộ trưởng Giáo dục tặng bằng khen cho các cô giáo mầm non cứu trẻ
- Soi kèo góc Leicester City vs Fulham, 22h00 ngày 18/1
- Hố sụt xuất hiện đột ngột, 'nuốt chửng' ôtô đang chạy
最新文章
-
Nhận định, soi kèo Hellas Verona vs Lazio, 0h00 ngày 20/1: Cơ hội của đội chủ nhà
-
Bộ phim hoạt hình nổi tiếng Wolfoo được sản xuất bởi đội ngũ nhân sự người Việt và phát hành trên toàn cầu với 20 ngôn ngữ. Ảnh: Sconnect Từ tháng 9/2023, Hasbro – công ty mẹ trước đó của eOne – xác nhận eOne không còn quyền sở hữu với Peppa Pig. Ngày 17/4, eOne nộp đơn lên Tòa án Anh xin rút lui khỏi vụ kiện với Sconnect. Song, vào ngày 3/6, hãng này vẫn tiếp đánh gậy bản quyền các video Wolfoo trên YouTube.
Trong báo cáo gửi tới Cục Bản quyền Tác giả và Cục Phát thanh, truyền hình và thông tin điện tử, Sconnect đề nghị hai cơ quan quản lý nhà nước hỗ trợ doanh nghiệp, tiếp tục gửi thư hoặc trao đổi trực tiếp với đại diện Google và YouTube để nền tảng này: Ngừng tiếp nhận và chấp thuận các yêu cầu đánh gậy bản quyền các video Wolfoo từ phía eOne. Đồng thời, khôi phục toàn bộ các video đã bị xóa gỡ từ yêu cầu của eOne vì lý do công ty này không phải là chủ thể quyền sở hữu trí tuệ từ ngày 1/9/2023 đến nay. Sconnect cũng đề nghị cơ quan nhà nước Việt Nam yêu cầu Google và YouTube tôn trọng và tuân theo pháp luật Việt Nam, đặc biệt là Điều 114 Nghị định số 17/2023/NĐ-CP.
Sconnect đề nghị Cục Bản quyền Tác giả và Cục Phát thanh, truyền hình và thông tin điện tử hỗ trợ doanh nghiệp trong việc xúc tiến với eOne hoặc đại diện pháp lý tại Việt Nam của công ty này để hai bên có thể nhanh chóng đi đến đàm phán, thương lượng, đảm bảo quyền và lợi ích của doanh nghiệp trong nước khi tham gia giải quyết tranh chấp trên các nền tảng xuyên biên giới.
Theo Luật sư Phạm Văn Anh, Trưởng phòng Pháp chế của Sconnect, vụ kiện kéo dài đã gần 3 năm nhưng cho tới nay nguyên đơn đầu tiên là eOne và nguyên đơn dự kiến thay thế là Hasbro vẫn chưa chứng minh được quyền chủ sở hữu đối với Peppa Pig và tác phẩm gốc bị xâm phạm.
“Mặc dù Sconnect đã nhiều lần yêu cầu nhưng phía eOne và Hasbro không phản hồi thông tin, không cung cấp tài liệu chứng cứ cho chúng tôi và tòa án, khiến cho vụ việc bị kéo dài, tốn kém chi phí mà không đi đến kết quả tích cực nào cho cả hai bên và khó khăn cho tòa án khi xem xét xử lý vụ kiện. Trước thực tế này, Sconnect chuẩn bị yêu cầu Tòa án Vương quốc Anh hủy bỏ vụ kiện nếu phía eOne và Hasbro không phản hồi hoặc cung cấp thêm thông tin tài liệu chứng minh quyền sở hữu đối với Peppa Pig, cũng như tác phẩm gốc mà nguyên đơn cáo buộc bị xâm hại”,Luật sư Phạm Văn Anh nhấn mạnh.
"Trước những hành vi vi phạm bản quyền của eOne gây thiệt hại nghiêm trọng đến quyền và lợi ích hợp pháp của Sconnect, các động thái của eOne trong việc muốn rút khỏi sự liên quan đến các vụ kiện trên toàn cầu, có thể thấy, đây là hành vi cố gắng chối bỏ các nghĩa vụ và trách nhiệm pháp lý từ phía eOne. Tuy nhiên, Sconnect vẫn thiện chí, sẵn sàng thương lượng, đàm phán với eOne và Hasbro để sớm giải quyết chấm dứt tranh chấp trên toàn cầu", ông Tạ Mạnh Hoàng, Tổng giám đốc Sconnect cho biết thêm.
Chia sẻ với báo VietNamNet chiều ngày 12/6, đại diện Cục Phát thanh, truyền hình và thông tin điện tử cho hay, hiện Cục chưa nhận được đơn của Sconnect phản ánh về vấn đề trên.
" alt="Không còn quyền sở hữu Peppa Pig, eOne vẫn đánh bản quyền Wolfoo">Không còn quyền sở hữu Peppa Pig, eOne vẫn đánh bản quyền Wolfoo
-
Chỉ tiêu dự kiến cụ thể từng ngành
Ngoài ra, trường cũng tuyển thẳng thí sinh có chứng chỉ ngoại ngữ quốc tế tiếng Anh, tiếng Pháp, tiếng Nhật hoặc SAT, còn thời hạn có giá trị đến ngày 30/6 nếu chứng chỉ đó có quy định về thời hạn.
Những thí sinh này đã tốt nghiệp THPT, phải có điểm trung bình của 6 học kỳ THPT của 3 môn thuộc tổ hợp đăng ký xét tuyển đạt tổng điểm từ 21 trở lên (điểm trung bình của 6 học kỳ THPT được làm tròn đến 1 chữ số thập phân).
Những thí sinh học tại các trường THPT chuyên, năng khiếu; thí sinh học tại các trường THPT thuộc nhóm trường có điểm trung bình thi THPT quốc gia cao nhất trong các năm 2017, 2018 và 2019 theo danh sách "Các trường THPT thuộc diện ưu tiên xét tuyển thẳng theo quy định của ĐH Quốc gia TP.HCM năm 2020"; có kết quả học tập của từng năm Lớp 10, 11 và 12 đạt từ loại giỏi trở lên; có điểm trung bình của 6 học kỳ THPT của 3 môn thuộc tổ hợp đăng ký xét tuyển đạt tổng điểm từ 21 trở lên,... cũng sẽ được xét tuyển thẳng.
Đối với phương thức Xét tuyển dựa vào kết quả thi THPT quốc gia năm 2020, trường sẽ thực hiện việc xét tuyển theo quy định và kế hoạch chung của Bộ GD-ĐT, với chỉ tiêu xét tuyển tối thiểu là 75%/tổng chỉ tiêu.
Thúy Nga
Năm 2020, Trường ĐH Ngoại thương tuyển sinh thêm 4 chương trình mới
- Năm 2020, Trường ĐH Ngoại thương tuyển sinh thêm 4 chương trình chất lượng cao mới. Phương thức tuyển sinh năm nay không có nhiều thay đổi so với năm 2019.
" alt="Trường ĐH Luật TP. HCM bất ngờ bỏ kiểm tra đánh giá năng lực">Trường ĐH Luật TP. HCM bất ngờ bỏ kiểm tra đánh giá năng lực
-
Bộ GD-ĐT vừa có công văn gửi hiệu trưởng các trường ĐH, CĐ sư phạm, trung cấp sư phạm, giám đốc Sở GD-ĐT chỉ đạo về việc chuẩn bị đón Tết Nguyên đán Mậu Tuất 2018. Trong đó, Bộ trưởng Bộ GD-ĐT yêu cầu các địa phương không về Hà Nội chúc tết Bộ. Theo công văn này, để chuẩn bị tốt các điều kiện đón Tết Nguyên đán Mậu Tuất 2018, Bộ trưởng Bộ GD-ĐT yêu cầu quán triệt, thực hiện nghiêm chỉ đạo của Thủ tướng - không tổ chức du xuân, đi chúc tết, không tặng quà lãnh đạo..., các địa phương không về Hà Nội chúc tết Bộ GD-ĐT. Cán bộ, công chức, viên chức không sử dụng xe công đi lễ hội và không đi lễ hội trong giờ hành chính.
Bộ GD-ĐT cũng yêu cầu các trường tuyên truyền, giáo dục, nâng cao nhận thức cho cán bộ, công chức, viên chức và học sinh, sinh viên có ý thức giữ gìn an ninh, trật tự, an toàn xã hội trong dịp Tết Nguyên đán; thực hành tiết kiệm, chống lãng phí...
Chủ động kế hoạch triển khai chuẩn bị đón Tết Nguyên đán Mậu Tuất 2018 đảm bảo an toàn, lành mạnh, duy trì thông suốt các hoạt động chuyên môn trước và sau kỳ nghỉ Tết.
Bộ đề nghị các nhà trường, địa phương quan tâm chăm lo đời sống vật chất và tinh thần đối với các nhà giáo có hoàn cảnh đặc biệt khó khăn, công tác tại các vùng biên giới, miền núi, hải đảo của Tổ quốc, nhất là các địa phương bị ảnh hưởng thiên tai, bão lũ trong năm 2017 vừa qua.
Chủ động liên hệ, phối hợp với các doanh nghiệp vận tải hành khách tổ chức bán vé tàu, xe tại trường học cho học sinh, sinh viên về nghỉ Tết. Quan tâm tổ chức chu đáo việc đón Tết đối với học sinh, sinh viên hoàn cảnh khó khăn, không có điều kiện về quê đón Tết cùng gia đình.
Cán bộ, công chức, viên chức, học sinh, sinh viên nghiêm chỉnh chấp hành Luật Giao thông, các quy định về an toàn giao thông. Nghiêm cấm cán bộ, công chức, viên chức, học sinh, sinh viên tàng trữ, vận chuyển, buôn bán, sử dụng pháo nổ...
Thanh Hùng
Trường mầm non thưởng tết hơn 30 triệu
Một trường mầm non tại TP.HCM đã chia thu nhập tăng thêm cho toàn bộ người lao động tại trường như quản lý, giáo viên, nhân viên, không phân biệt vị trí công tác mỗi người hơn 30,5 triệu đồng.
" alt="Bộ trưởng GD">Bộ trưởng GD
-
Nhận định, soi kèo Cagliari vs Lecce, 21h00 ngày 19/1: Nắm bắt cơ hội
-
Nữ tài xế xe buýt xinh đẹp liên tục được hành khách làm quen