logo Lokapc.com

MICROSOFT CHO RA MẮT BẢN VÁ VỚI TÊN GỌI PATCH TUESDAY

Đăng bởi Nguyễn Khánh Vy vào lúc 14/03/2022

Bản vá lỗi với tên gọi “Patch Tuesday” đã được Microsoft mang đến những đổi mới vững chắc cho Windows, Microsoft Office, Exchange và Microsoft Edge vừa vào Chrome (Chromium). Nhưng không có lỗi nghiêm trọng nào khiến nhà phát hành phải vá lỗi ngay lập tức (Dù vậy Microsoft Exchange sẽ cần có những sự thay đổi về mặt kỹ thuật). Microsoft đã công bố một số hướng dẫn thử nghiệm, tập trung về in ấn, máy tính để bàn từ xa thông qua VPN, và những thay đổi về hệ thống máy chủ mạng. Bên cạnh đó, nhà phát hành cũng khuyến khích dùng thử gói cài đặt Windows của bạn, tập trung cụ thể vào khả năng khôi phục và gỡ cài đặt ứng dụng.

Chi tiết về rủi ro khi cài đặt “Patch Tuesday” có trong biểu đồ thông tin này. Nếu bạn muốn tìm hiểu thêm thông tin về các cập nhật .NET, có một bài chi tiết từ Microsoft nhấn mạnh những thay đổi quan trọng tháng này.

 

Các tình huống thử nghiệm chính

Đại diện Windows cho biết đã có ít nhất một thay đổi được báo cáo có rủi ro cao đối với nền tảng Windows trong tháng 3. Chúng tôi đã đưa vào các nguyên tắc kiểm tra sơ bộ sau đây dựa trên phân tích về các tệp đã thay đổi và nội dung của các bản cập nhật Windows và Office của tháng này:

• (Rủi ro cao): Kiểm tra các máy in được nối mạng của bạn qua Giao thức Máy tính Từ xa (RDP). Microsoft đã không công bố bất kỳ thay đổi chức năng nào cho bản cập nhật tháng này vì các sửa đổi là do lo ngại về bảo mật.

• V4 Trình điều khiển Máy in, in bằng (các) máy in được chuyển hướng dựa trên điều khiển từ xa và dựa trên mạng.

• Kiểm tra quy trình sao lưu và khôi phục của bạn khi sử dụng Hệ thống tệp được mã hóa (EFS).

• Xác thực rằng các VPN của bạn xác thực chính xác qua giao thức đường hầm Điểm - Điểm (PPTP).

• Kiểm tra các quy trình báo cáo Lỗi Windows của bạn bằng Tạo / Đọc / Cập nhật / Xóa (CRUD) cho tất cả các tệp nhật ký.

• Định vị các tham chiếu ứng dụng đến NtAlpcCreatePort trên máy chủ Windows của bạn và xác thực kết quả ứng dụng của bạn.

Microsoft khuyến cáo nếu người dùng có thời gian, có thể nên thử nghiệm các đường dẫn UNC đến các hộp DOS (do một số thay đổi đối với ngăn xếp mạng và xác thực). Cũng có một bản cập nhật cho trình điều khiển hệ thống FastFAT và cách xử lý các Ký tự do Người dùng Cuối xác định (EUDC). Microsoft hiện đã bao gồm các yêu cầu triển khai và khởi động lại cho bản cập nhật tháng 3 năm 2022 này trong một trang duy nhất.

 

Các lỗi đã biết

Mỗi tháng, Microsoft nhận tổng hợp các danh sách vấn đề đã biết liên quan đến hệ điều hành và các nền tảng có trong chu kỳ này. Microsoft đã tham khảo một số vấn đề chính liên quan đến các bản dựng mới nhất, bao gồm:

• Sau khi cài đặt bản cập nhật này, khi kết nối với các thiết bị trong tên miền không đáng tin cậy bằng Máy tính Từ xa, các kết nối có thể không xác thực được khi sử dụng xác thực thẻ thông minh. Bạn có thể nhận được lời nhắc, "Thông tin đăng nhập của bạn không hoạt động." Giống như tháng trước, Microsoft đã phát hành một số tệp GPO giải quyết vấn đề này, bao gồm: Windows Server 2022 và Windows 10.

• Sau khi cài đặt các bản cập nhật được phát hành từ ngày 11 tháng 1 trở đi, các ứng dụng sử dụng Microsoft .NET Framework để lấy hoặc đặt “Thông tin tin cậy về rừng thư mục độc quyền” bằng API System.DirectoryServers có thể không thành công hoặc tạo ra thông báo lỗi.

Có một sự cố còn tồn tại trong chu kỳ cập nhật của tháng 1 khi DWM.EXE thực thi gặp sự cố sau khi cài đặt KB5010386. Vấn đề này hiện đã được giải quyết. Nếu người  đang tìm kiếm thêm dữ liệu về các loại sự cố được báo cáo này, một tài nguyên tuyệt vời từ Microsoft là Trung tâm chăm sóc sức khỏe - cụ thể là bạn có thể tìm hiểu về các sự cố đã biết của Windows 10 và Windows 11 cũng như trạng thái hiện tại của chúng.

 

Các bản sửa đổi chính

Mặc dù có một danh sách bản vá nhỏ hơn nhiều trong chu kỳ vá lỗi này, Microsoft đã phát hành một số bản sửa đổi cho các bản vá trước đó, bao gồm:

CVE-2021-3711: Đây là bản cập nhật Visual Studio từ tháng 11 năm 2021. Một phiên bản mới đã được cập nhật để hỗ trợ các phiên bản mới nhất của Visual Studio 2022. Không cần thực hiện thêm hành động nào.

CVE-2021-36927: Bản vá cập nhật này giải quyết sự cố codec TV Tuner vào năm 2021. Microsoft đã xuất bản một cách hữu ích bộ tài liệu cập nhật cho vấn đề này, lưu ý rằng bản sửa lỗi hiện đã chính thức và giải quyết hoàn toàn sự cố được báo cáo. Không cần thực hiện thêm hành động nào.

 

Biện pháp giảm thiểu và giải pháp thay thế

Trong tháng này, Microsoft đã không công bố bất kỳ biện pháp giảm thiểu hoặc giải pháp thay thế nào cho các bản cập nhật và vá lỗi của Windows, Microsoft Office, trình duyệt hoặc nền tảng phát triển. Có một danh sách liên tục các biện pháp giảm nhẹ và cập nhật liên quan đến các sự cố đã biết đối với Microsoft Exchange (chúng được đưa vào phần liên quan đến Exchange của chúng tôi).

Mỗi tháng, Microsoft chia nhỏ chu kỳ cập nhật thành các họ sản phẩm (theo định nghĩa của Microsoft) với các nhóm cơ bản sau:

 

• Trình duyệt (Microsoft IE và Edge);

• Microsoft Windows (cả máy tính để bàn và máy chủ);

• Microsoft Office;

• Microsoft Exchange;

• Các nền tảng Phát triển của Microsoft (ASP.NET Core, .NET Core và Chakra Core);

• Adobe (đã loại bỏ???, có thể vào năm sau).

Trình duyệt

Theo xu hướng của Microsoft trong vài tháng qua, chỉ có trình duyệt Chromium Edge được cập nhật. Không có bản cập nhật quan trọng và 21 lỗ hổng được báo cáo được Microsoft đánh giá là quan trọng, đây là một chu kỳ cập nhật dễ dàng khác. Ngoài việc khắc phục các sự cố tiềm ẩn với công cụ nén Brotli, người dùng sẽ có thể triển khai các bản cập nhật trình duyệt theo lịch trình phát hành bình thường của mình.

 

Hệ điều hành Windows

Theo xu hướng ít cập nhật hơn (về cả số liệu và bản chất) trong tháng này, Microsoft chỉ phát hành hai bản cập nhật quan trọng (CVE-2022-22006 và CVE-2022-24501). Cả hai bản cập nhật đều không có khả năng ảnh hưởng đến các nền tảng cốt lõi vì mỗi bản vá lỗi một codec video riêng lẻ và một thành phần Microsoft Store. 40 bản vá còn lại đều được Microsoft đánh giá là quan trọng và cập nhật các thành phần cốt lõi của Windows sau:

 

• Máy khách Máy tính Từ xa (RDP);

• Nhật ký lỗi Windows (bản này đã được cập nhật hàng tháng trong năm nay)

• Kết nối mạng (SMB và PTPTP);

• Windows Update và Windows Installer.

Người dùng có thể muốn thêm thử nghiệm Windows Installer vào chế độ thử nghiệm của mình trong tháng này. Thêm các bản cập nhật Windows này vào lịch phát hành tiêu chuẩn của bạn.

 

Microsoft Office

Nếu bạn đã từng tìm kiếm một hồ sơ vá lỗi "rủi ro thấp" cho Microsoft Office, thì các bản cập nhật của tháng này là một ứng cử viên rất tốt. Microsoft đã phát hành sáu bản vá cho Office, tất cả đều được đánh giá là quan trọng. Quan trọng nhất, chúng hoặc là ảnh hưởng đến Skype (không quá quan trọng), hoặc là cài đặt "Nhấp để chạy" (CTR) của Office. Phiên bản CTR là phiên bản được ảo hóa, độc lập của cài đặt Office được truyền xuống hệ thống đích. Theo thiết kế, những cài đặt này có ít hoặc không ảnh hưởng đến hệ điều hành và với bản chất của những thay đổi được thực hiện trong tháng này, có rất ít rủi ro khi triển khai. Thêm các bản cập nhật Office này vào lịch triển khai tiêu chuẩn của người dùng.

Máy chủ Microsoft Exchange

Cuối cùng là một lỗ hổng nghiêm trọng từ Microsoft, nó dành cho Exchange. Microsoft Exchange nằm trong danh sách kém trong tháng này với một trong số ít lỗ hổng được xếp hạng nghiêm trọng (CVE-2022-23277). Trong số hai bản vá liên quan đến Exchange cho tháng 3, bản vá còn lại (CVE-2022-24463) được đánh giá là quan trọng và có tiềm năng dẫn đến tình huống giả mạo thông tin xác thực. Vấn đề quan trọng được đánh giá là có khả năng bị khai thác cao nhưng yêu cầu kẻ tấn công phải được xác thực. Đây không phải là một "lỗ hổng sâu", vì vậy người dùng nên thêm các bản cập nhật Microsoft Exchange vào triển khai máy chủ tiêu chuẩn của mình. Bản cập nhật này sẽ yêu cầu khởi động lại máy chủ. Đã có một số sự cố được xuất bản với các bản cập nhật Microsoft Exchange gần đây và do đó, danh sách các sự cố đã biết khi cập nhật Máy chủ Exchange, bao gồm:

 

1. Khi người dùng cố gắng cài đặt thủ công bản cập nhật bảo mật này bằng cách nhấp đúp vào tệp cập nhật (.MSP) để chạy ở chế độ Bình thường (nghĩa là không phải với tư cách quản trị viên), một số tệp không được cập nhật chính xác.

2. Các dịch vụ Exchange có thể vẫn ở trạng thái bị vô hiệu hóa sau khi người dùng cài đặt bản cập nhật bảo mật này. Để giải quyết vấn đề này, hãy bắt đầu quá trình cập nhật với tư cách là Quản trị viên.

3. Khi bạn chặn cookie của bên thứ ba trong trình duyệt web, người dùng có thể liên tục được nhắc tin tưởng một bổ trợ cụ thể, ngay cả khi bạn tiếp tục chọn tùy chọn để tin cậy nó.

4. Khi người dùng cố gắng yêu cầu thông tin rảnh / bận cho người dùng ở một khu rừng khác trong cấu trúc liên kết rừng đáng tin cậy, yêu cầu không thành công và tạo ra thông báo lỗi "(400) Yêu cầu không hợp lệ".

Microsoft đã xuất bản một giải pháp cho lỗi "400 Yêu cầu Không hợp lệ".

 

Nền tảng phát triển của Microsoft

Microsoft chỉ phát hành bốn bản cập nhật cho các nền tảng phát triển của mình trong tháng Ba, tất cả đều được đánh giá là quan trọng. Hai bản vá dành cho nền tảng .NET (CVE-2022-24512 và CVE-2022-24464), cả hai đều yêu cầu sự tương tác của người dùng để phân phối tải trọng của họ, tệ nhất là dẫn đến một cuộc tấn công nâng cao đặc quyền. Bản vá lỗi của Microsoft có thể khiến bạn đau đầu đã được Google đưa ra vào năm 2020 (do đó mã nhận dạng CVE của nó là CVE-2020-8927). Bản vá Patch Tuesday này cho Brotli có thể ảnh hưởng đến cách các trang web của bạn được nén lại. Trước khi người dùng triển khai bản cập nhật này, hãy xem nhanh các trang web nội bộ và ứng dụng dựa trên trình duyệt bằng Brotli để biết các tác động bất lợi khi giải nén CSS và JavaScript. Nếu không, hãy thêm các bản cập nhật này vào lịch trình vá lỗi chuẩn của bạn.

 

Adobe (thực sự chỉ là Reader)

Cũng giống như tháng trước, Adobe đã không phát hành bất kỳ bản cập nhật hoặc bản vá lỗi nào cho các dòng sản phẩm Adobe Reader. Đây là một tin tốt và hy vọng là một phần của xu hướng lớn hơn. Hy vọng rằng các bản cập nhật Adobe Reader tuân theo cùng một bản vá với trình duyệt của Microsoft (ngày càng giảm số lượng các bản cập nhật quan trọng) và sau đó, cũng như với trình duyệt Microsoft Chromium, một số vấn đề bảo mật được cho là quan trọng bởi cả cộng đồng và Microsoft. Adobe đã phát hành một số bản vá cho các sản phẩm của nó là Photoshop, After Effects và Illustrator. Tuy nhiên, đây là các bản cập nhật tập trung vào sản phẩm và sẽ không ảnh hưởng đến lịch trình triển khai bản vá lỗi chung cho máy tính để bàn / máy chủ của người dùng.


 

popup

Số lượng:

Tổng tiền:

Xin chào
close nav