CamSA21-27: ចំណុចខ្សោយធ្ងន់ធ្ងរបំផុតចំនួន ៤ មានក្នុងផលិតផលម៉ៃក្រូសូហ្វប្រចាំខែឧសភា ឆ្នាំ២០២១

១. ព័ត៌មានទូទៅ

ក្រុមហ៊ុនម៉ៃក្រូសូហ្វបានធ្វើការចេញផ្សាយនូវបញ្ជីចំនុចខ្សោយចំនួន ៥៥ ដែលមានផលប៉ៈពាល់ទៅដល់ផលិតផលរបស់ខ្លួន ក្នុងចំនោមនោះមាន ៤ ចំណុច ត្រូវបានចាត់ទុកថាមានលក្ខណៈធ្ងន់ធ្ងរបំផុត។ ការវាយលុកដោយជោគជ័យទៅលើចំណុចខ្សោយធ្ងន់ធ្ងរទាំង ៤ នេះ អាចអនុញ្ញាតឱ្យមានការដំណើរការកូដពីចម្ងាយ ដោយចោរបច្ចេកវិទ្យា ចំណុចចខ្សោយទាំង ៤ នោះ មានដូចខាងក្រោម៖

• CVE-2021-31204: ចំណុចខ្សោយនេះមាននៅក្នុងកម្មវីធី .NET និង Visual Studio ដោយសារតែកម្មវិធីមិនបានធ្វើការត្រួតពិនិត្យឱ្យបានត្រឹមត្រូវ នៅពេលដែលអ្នកប្រើប្រាស់បញ្ចូលទិន្នន័យ អាចអនុញ្ញាត​ឱ្យចោរព័ត៌មានវិទ្យាអាចចូលទៅក្នុងប្រព័ន្ធ ដោយប្រើប្រាស់សិទ្ធិជាអ្នកប្រើប្រាស់ធម្មតា (normal user) អាចវាយប្រហាររំលងការផ្ទៀងផ្ទាត់សុវត្ថិភាពដើម្បីបានសិទ្ធិដំណើរការកម្មវិធីក្នុងនាមជាអ្នកគ្រប់គ្រងប្រព័ន្ធ(administrator)
• CVE-2021-31207: ចំណុចខ្សោយនេះមាននៅក្នុងកម្មវីធី Microsoft Exchange Server ដោយសារតែកម្មវិធីដំណើរការមិនបានត្រឹមត្រូវនៅពេលដែលអ្នកប្រើប្រាស់ធ្វើការបញ្ចូលទិន្នន័យ ដែលអាចអនុញ្ញាតឱ្យចោរព័ត៌មានវិទ្យាធ្វើការវាយប្រហារពីចម្ងាយដោយបន្លំ (spoof) និងអាចធ្វើការបន្លំមាតិការទំព័រវេបសាយបាន
• CVE-2021-31200: ចំណុចខ្សោយនេះមាននៅក្នុងកម្មវីធី Microsoft Common Utilities ដោយសារតែកម្មវិធីមិនបានធ្វើការត្រួតពិនិត្យឱ្យបានត្រឹមត្រូវនៅពេលដែលអ្នកប្រើប្រាស់បញ្ចូលទិន្នន័យ ដែលអាចអនុញ្ញាតឱ្យចោរព័ត៌មានវិទ្យា ធ្វើការវាយប្រហារពីចម្ងាយដោយប្រតិបត្តិកូដបំពាន ឬប្រើប្រាស់ពាក្យបញ្ជានៅលើប្រព័ន្ធដែលរងផលប៉ះពាល់
• CVE-2021-31166: ចំណុចខ្សោយនេះមាននៅក្នុងកម្មវីធី Microsoft HTTP Protocol Stack ដោយសារតែ
  កម្មវិធីមិនបានធ្វើការត្រួតពិនិត្យឱ្យបានត្រឹមត្រូវនៅពេលដែលអ្នកប្រើប្រាស់បញ្ចូលទិន្នន័យ ដែលអាចអនុញ្ញាតឱ្យចោរព័ត៌មានវិទ្យា ធ្វើការវាយប្រហារពីចម្ងាយដោយប្រតិបត្តិកូដបំពាន ឬប្រើប្រាស់ពាក្យបញ្ជានៅលើប្រព័ន្ធដែលរងផលប៉ះពាល់

២. ផលិតផលម៉ៃក្រូសូហ្វដែលរងផលប៉ៈពាល់

• .NET Core & Visual Studio
• sys
• Internet Explorer
• Microsoft Accessibility Insights for Web
• Microsoft Bluetooth Driver
• Microsoft Dynamics Finance & Operations
• Microsoft Edge (Chromium-based)
• Microsoft Exchange Server
• Microsoft Graphics Component
• Microsoft Office
• Microsoft Office Access
• Microsoft Office Excel
• Microsoft Office SharePoint
• Microsoft Office Word
• Microsoft Windows Codecs Library
• Microsoft Windows IrDA
• Open Source Software
• Role: Hyper-V
• Skype for Business and Microsoft Lync
• Visual Studio
• Visual Studio Code
• Windows Container Isolation FS Filter Driver
• Windows Container Manager Service
• Windows Cryptographic Services
• Windows CSC Service
• Windows Desktop Bridge
• Windows OLE
• Windows Projected File System FS Filter
• Windows RDP Client
• Windows SMB
• Windows SSDP Service
• Windows WalletService
• Windows Wireless Networking

៣. ផលវិបាក

ការវាយប្រហារដោយជោគជ័យទៅលើចំនុចខ្សោយខាងលើនេះ អាចអនុញ្ញាតឱ្យចោរព័ត៌មានវិទ្យា ដំណើរការនូវកូដនានាពីចម្ងាយហើយធ្វើការគ្រប់គ្រងទៅលើម៉ាស៊ីនរងគ្រោះ ដើម្បីធ្វើសកម្មភាពមិនអនុញ្ញាតនានា រួមមានការតំឡើងកម្មវិធី បង្កើតនូវគណនីអភិបាលផ្សេងទៀត និងការបើកផ្លាស់ប្តូរ ឬលុប ទិន្នន័យនានា។

៤. អនុសាសន៍ណែនាំ

អ្នកប្រើប្រាស់ និងអ្នកគ្រប់គ្រងប្រព័ន្ធត្រូវតែធ្វើការអាប់ដេតជាបន្ទាន់។

៥. ឯកសារពាក់ព័ន្ធ

–   https://msrc.microsoft.com/update-guide/releaseNote/2021-May 

–   https://us-cert.cisa.gov/ncas/current-activity/2021/05/11/microsoft-releases-may-2021-security-updates