Microsoft vá 24 lỗ hổng RCE nghiêm trọng trong bộ Office

Microsoft vừa tung ra bản vá cho hơn 30 lỗ hổng bảo mật mới, chỉ ít ngày sau đợt cập nhật Patch Tuesday lớn nhất trong lịch sử của hãng. Phần lớn các bản vá lần này tập trung vào bộ ứng dụng văn phòng Office, với 24 lỗ hổng thực thi mã từ xa (RCE) mức độ nghiêm trọng cao được khắc phục.

Điểm đáng lo ngại là khoảng nửa tá trong số các lỗ hổng RCE này có thể bị khai thác thông qua Preview Pane – khung xem trước vốn được nhiều người dùng tin tưởng là an toàn vì không cần mở tệp. Điều này đồng nghĩa với việc kẻ tấn công có thể kích hoạt mã độc chỉ bằng cách khiến nạn nhân chọn xem trước một tệp độc hại.

Cách thức khai thác và các lỗi phổ biến

Minh họa các ứng dụng Microsoft Office bị ảnh hưởng

Theo Microsoft, trong hầu hết các trường hợp, kẻ tấn công cần gửi một tệp được tạo đặc biệt – chẳng hạn như một tài liệu độc hại – và thuyết phục người nhận mở nó. Tuy nhiên, với các lỗ hổng khai thác qua Preview Pane, bước "thuyết phục mở tệp" gần như bị loại bỏ, khiến mức độ rủi ro tăng lên đáng kể.

Nguyên nhân của phần lớn các lỗ hổng RCE được xác định là tràn bộ đệm (buffer overflow). Bên cạnh đó, Microsoft cũng vá nhiều lỗi thuộc các dạng:

• Lỗi off-by-one – sai lệch một đơn vị khi tính toán bộ nhớ
• Use-after-free – sử dụng vùng nhớ đã được giải phóng
• Path traversal – duyệt đường dẫn trái phép
• Numeric truncation – cắt ngắn giá trị số gây sai lệch logic

Trong số các ứng dụng bị ảnh hưởng, Word nhận nhiều bản vá nhất, trong khi Excel, Outlook, PowerPoint và SharePoint chỉ có một vài lỗi được khắc phục.

Không chỉ có RCE

Biểu trưng SecurityWeek

Ngoài các lỗ hổng RCE, Microsoft còn vá nhiều lỗi rò rỉ thông tin (information disclosure) và một vấn đề vượt qua cơ chế bảo mật (security bypass) trong bộ Office.

Ở các sản phẩm khác, hãng cũng xử lý:

• Lỗ hổng từ chối dịch vụ (DoS) trong ASP.NET Core
• Lỗi leo thang đặc quyền (elevation of privilege) trong Identity Web
• Lỗi rò rỉ thông tin trong Authentication Library (MSAL) dành cho Node.js

Đáng chú ý, theo Microsoft, không có lỗ hổng nào trong số này bị khai thác ngoài thực tế dưới dạng zero-day tại thời điểm công bố bản vá.

Cập nhật cho người dùng Mac

Cùng ngày, Microsoft cũng cập nhật hàng chục khuyến cáo ban đầu được phát hành vào ngày 13/10, thông báo rằng các bản vá bảo mật đã có sẵn cho Office LTSC for Mac 2021 và 2024, cùng với Office 365 for Mac.

Ionut Arghire, phóng viên của SecurityWeek

Người dùng Việt Nam cần làm gì?

Với người dùng và doanh nghiệp tại Việt Nam – nơi bộ Office là công cụ làm việc gần như không thể thay thế – việc cập nhật ngay lập tức là ưu tiên hàng đầu. Một số khuyến nghị cụ thể:

• Bật Windows Update và kiểm tra bản cập nhật Office qua Microsoft Update
• Với Office 365/Microsoft 365, bản vá thường được tự động triển khai, nhưng nên kiểm tra thủ công trong mục Account → Update Options
• Không mở tệp đính kèm từ nguồn không rõ danh tính, đặc biệt là các tệp .doc, .docx, .xls, .rtf
• Cân nhắc tắt Preview Pane trong Outlook và File Explorer nếu chưa cập nhật được ngay
• Doanh nghiệp nên rà soát và áp dụng bản vá theo lịch trình khẩn thay vì chờ chu kỳ cập nhật định kỳ

Việc các lỗ hổng RCE có thể khai thác qua Preview Pane cho thấy ngay cả những tính năng tưởng chừng vô hại cũng có thể trở thành vector tấn công. Trong bối cảnh tội phạm mạng ngày càng nhắm vào các tài liệu văn phòng như một phương thức xâm nhập phổ biến, người dùng không nên chủ quan chỉ vì "chưa mở tệp".

Đây là lời nhắc nhở quen thuộc nhưng chưa bao giờ cũ: trong bảo mật, việc cập nhật không chỉ là thói quen tốt mà là yêu cầu bắt buộc đối với cả cá nhân lẫn tổ chức.