Microsoft tung bản vá lỗi nghiêm trọng trong IE9
và Windows
Hôm qua, Microsoft đã vá 34 lỗ hổng trong
Windows, Internet Explorer (IE), Office và các
phần mềm khác. Trong số đó, có 15 bản vá được
hãng này đánh giá là “nghiêm trọng”.
Một chuyên gia cho rằng, càng có nhiều bản cập nhật
– cũng như việc Microsoft cung cấp chúng chậm hơn
2h – sẽ tạo áp lực cho các nhà quản lý.
Wolfgang Kandek, Giám đốc công nghệ của hãng
bảo mật Qualys nói: “Chắc chắn rằng các IT
administrator sẽ phải lựa chọn và quyết định nên
hành động như thế nào, ở đâu trước tiên”.
Trong số 16 bản cập nhật, Microsoft gọi l
à bulletin, 9
bản được gắn là nghiêm trọng, mức đánh giá cao nh
ất
trong hệ thống tính điểm của hãng này. Trong khi
đó,
7 bản vá còn lại được đánh giá là “quan trọng”, mức
nguy hiểm thứ 2.
Mặc dù số lượng bản vá được cung cấp ngày hôm
qua ít hơn so với kỷ lục 64 bản vá được Microsoft vá
trong tháng 4, nhưng nó vẫn là mức cao thứ 2 trong
năm nay. Con số 16 bulletin cũng là một kỷ lục.
15 trong tổng số 34 lỗ hổng được đánh giá là nghiêm
trọng, 17 lỗ hổng được xếp hạng quan trọng còn 2 lỗ
còn lại được đánh giá là trung bình.
Microsoft đã “nhặt” ra 4 trong số 16 bản cập nhật để
highlight và thuyết phục người dùng tri
ển khai ngay 4
bản vá này càng sớm càng tốt.
Jerry Bryant, nhà quản lý cao cấp của trung tâm
Microsoft Security Response Center (MSRC), đã nói
trong một cuộc phỏng vấn ngày hôm qua: “
Chúng tôi
đặt trọng tâm vào 4 bản vá MS11-050, MS11-052,
MS11-043 và MS11-042". Ông đã liệt kê 4 bản vá
này theo thứ tự được ưu tiên.
Trong số các bulletin cần được triển khai ngay lập
tức, MS11-050 cung cấp 11 bản vá cho IE mà
Microsoft cùng các chuyên gia đã đánh giá chúng rất
cao trong danh sách.
Andrew Storms, Giám đốc điều hành bảo mật của
nCircle Security, đã nói: “Bản vá này đứng đầu danh
sách khi Microsoft vá IE. Tuy nhiên, đây cũng là bản
cập nhật cho IE9 và chúng ta có thể nhìn th
ấy sự thật
là Microsoft đã có lỗi này
ở ngay thời điểm họ cho ra
mắt IE9 hoặc chậm hơn vài ngày”.
Storms đã ám chỉ tới quá trình kiểm tra của
Microsoft, thường sẽ kết thúc trong khoảng 2 tháng
hoặc hơn. Khoảng thời gian này có thể đã không kịp
để bản vá cho IE9 “xuất hiện” trong tháng 4, bản cập
nhật đầu tiên dự định sẽ được đưa ra sau khi trình
duyệt này ra mắt.
Microsoft có thoi quen vá IE trong nh
ững tháng chẵn;
lần gần đây nhất họ đưa ra một bản cập nhật bảo mật
cho trình duyệt của mình là tháng 4, giúp vá 5 lỗ
hổng. Tuy nhiên, bản vá lần này là bản cập nhật đầu
tiên dành cho IE9, trình duyệt web họ đã cho ra mắt
vào giữa tháng 3. Theo Microsoft, 4 trong số 11 bản
vá trong MS11-050 có ảnh hưởng tới IE9.
9 trong số 11 lỗ hổng trong IE mà Microsoft vá ngày
hôm qua có thể bị tấn công với kiểu tấn công "drive-
by" có yêu cầu người dùng chỉ việc truy cập vào một
trang web có chứa mã độc.
MS11-052 cũng liên quan tới IE mặc dù Microsoft đ
“dán nhãn” nó là một bản cập nhật cho Windows.
Bryant nói: “Lỗ hổng là ở b
ên trong Windows, nhưng