Cảnh báo về lỗ hổng an toàn thông tin nghiêm trọng trong các sản phẩm Microsoft

1. Các cấp độ an toàn hệ thống thông tin mạng hiện nay

Căn cứ theo quy định tại Điều 21 Luật An toàn thông tin mạng 2015 quy định vè phân loại cấp độ an toàn hệ thống thông tin mạng như sau:

- Cấp độ 1 là cấp độ mà khi bị phá hoại sẽ làm tổn hại tới quyền và lợi ích hợp pháp của tổ chức, cá nhân nhưng không làm tổn hại tới lợi ích công cộng, trật tự, an toàn xã hội, quốc phòng, an ninh quốc gia;

- Cấp độ 2 là cấp độ mà khi bị phá hoại sẽ làm tổn hại nghiêm trọng tới quyền và lợi ích hợp pháp của tổ chức, cá nhân hoặc làm tổn hại tới lợi ích công cộng nhưng không làm tổn hại tới trật tự, an toàn xã hội, quốc phòng, an ninh quốc gia;

- Cấp độ 3 là cấp độ mà khi bị phá hoại sẽ làm tổn hại nghiêm trọng tới sản xuất, lợi ích công cộng và trật tự, an toàn xã hội hoặc làm tổn hại tới quốc phòng, an ninh quốc gia;

- Cấp độ 4 là cấp độ mà khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới lợi ích công cộng và trật tự, an toàn xã hội hoặc làm tổn hại nghiêm trọng tới quốc phòng, an ninh quốc gia;

- Cấp độ 5 là cấp độ mà khi bị phá hoại sẽ làm tổn hại đặc biệt nghiêm trọng tới quốc phòng, an ninh quốc gia.

Việc phân loại cấp độ an toàn hệ thống thông tin là để áp dụng biện pháp quản lý và kỹ thuật nhằm bảo vệ hệ thống thông tin phù hợp theo cấp độ.

2. Cảnh báo 74 lỗ hổng an toàn thông tin nghiêm trọng trong các sản phẩm Microsoft

Ngày 21/8/2023, Cục An toàn thông tin (Bộ Thông tin truyền thông) đã có Công văn 1500/CATTT-NCSC về việc lỗ hổng an toàn thông tin ảnh hưởng cao và nghiêm trọng trong các sản phẩm Microsoft công bố tháng 08/2023.

Theo Cục An toàn thông tin, các sản phẩm Microsoft công bố tháng 08/2023 đã có 74 lỗ hổng an toàn thông tin có mức ảnh hưởng cao và nghiêm trọng sau:

- Lỗ hổng an toàn thông tin CVE-2023-38181 trong Microsoft Exchange Server cho phép đối tượng tấn công thực hiện tấn công Spoofing. Đối tượng tấn công có thể khai thác lỗ hổng này để vượt qua bản vá cho một lỗ hổng đã bị khai thác trong thực tế, CVE-2022-41082.

- Lỗ hổng an toàn thông tin CVE-2023-21709 trong Microsoft Exchange Server cho phép đối tượng tấn công thực hiện tấn công nâng cao đặc quyền.

- 04 lỗ hổng an toàn thông tin CVE-2023-35368, CVE-2023-38185, CVE-2023-35388, CVE-2023-38182 trong Microsoft Exchange Server cho phép đối tượng tấn công thực thi mã từ xa.

- 03 lỗ hổng an toàn thông tin CVE-2023-35385, CVE-2023-36910, CVE- 2023-36911 trong Microsoft Message Queuing cho phép đối tượng tấn công thực thi mã từ xa.

- 02 lỗ hổng an toàn thông tin CVE-2023-29328, CVE-2023-29330 trong Microsoft Teams cho phép đối tượng tấn công thực thi mã từ xa.

- Lỗ hổng an toàn thông tin CVE-2023-36895 trong Microsoft Outlook cho phép đối tượng tấn công thực thi mã từ xa.

- Lỗ hổng an toàn thông tin CVE-2023-36896 trong Microsoft Excel cho phép đối tượng tấn công thực thi mã từ xa.

- Lỗ hổng an toàn thông tin CVE-2023-35371 trong Microsoft Office cho phép đối tượng tấn công thực thi mã từ xa.

Thông tin chi tiết các lỗ hổng bảo mật trong sản phẩm Microsoft công bố tháng 08/2023 theo bảng nội dung dưới đây:

Để đảm bảo an toàn thông tin cho hệ thống thông tin của Quý đơn vị, góp phần bảo đảm an toàn cho không gian mạng Việt Nam, Cục An toàn thông tin khuyến nghị người dùng các sản phẩm này kiểm tra, rà soát, xác định máy tính sử dụng hệ điều hành Windows có khả năng bị ảnh hưởng; thực hiện cập nhật bản vá kịp thời để tránh nguy cơ bị tấn công.

Tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có dấu hiệu bị khai thác, tấn công mạng; đồng thời thường xuyên theo dõi kênh cảnh báo của các cơ quan chức năng và các tổ chức lớn về an toàn thông tin để phát hiện kịp thời các nguy cơ tấn công mạng.

3. Nhiệm vụ của Cục An toàn thông tin trong việc trực tiếp tổ chức thực thi quản lý nhà nước

Nhiệm vụ và quyền hạn của Cục An toàn thông tin trong việc trực tiếp tổ chức thực thi quản lý nhà nước được quy định tại khoản 2 Điều 2 Quyết định 1499/QĐ-BTTTT năm 2023 như sau:

- Trực tiếp tổ chức thực thi quản lý nhà nước

+ Hướng dẫn, tổ chức thực hiện và kiểm tra, phối hợp thanh tra việc thực hiện các văn bản quy phạm pháp luật, chiến lược, quy hoạch, kế hoạch, chương trình, đề án, dự án về an toàn thông tin mạng, giải pháp bảo đảm an toàn thông tin mạng;

+ Cấp, cấp lại giấy phép nhập khẩu sản phẩm an toàn thông tin mạng theo quy định của pháp luật; thẩm định hồ sơ đề xuất cấp độ an toàn hệ thống thông tin;

+ Cấp, cấp lại, gia hạn, thu hồi giấy chứng nhận tên định danh cho tổ chức, cá nhân sử dụng với mục đích quảng cáo bằng tin nhắn, gọi điện thoại; quản lý hoạt động quảng cáo qua tin nhắn, thư điện tử, gọi điện thoại; quản lý hoạt động sử dụng tên định danh cho hoạt động quảng cáo qua tin nhắn, gọi điện thoại;

+ Tổ chức thực hiện quản lý chất lượng sản phẩm, dịch vụ an toàn thông tin mạng (trừ sản phẩm, dịch vụ mật mã dân sự và sản phẩm, dịch vụ an ninh mạng); Quản lý, kiểm tra, đánh giá, chứng nhận và công bố hợp chuẩn, hợp quy về an toàn thông tin mạng theo quy định;

+ Quản lý công tác giám sát an toàn hệ thống thông tin mạng; quản lý công tác kiểm tra, đánh giá an toàn thông tin mạng; quản lý phát triển phần mềm an toàn theo quy định của pháp luật;

+ Giám sát, thu thập, phân tích, dự báo, cảnh báo về nguy cơ, mã độc, sự cố tấn công mạng và xu hướng về các hoạt động, diễn biến trên không gian mạng Việt Nam. Là đầu mối chỉ đạo các doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, dịch vụ trên mạng Internet, dịch vụ gia tăng trên không gian mạng, chủ quản hệ thống thông tin xóa bỏ, ngăn chặn thông tin vi phạm pháp luật và xử lý tấn công mạng theo quy định;

+ Tổ chức thực hiện chức năng quản lý, điều phối các hoạt động ứng cứu sự cố an toàn thông tin mạng trên toàn quốc; chủ trì điều phối ứng cứu khẩn cấp bảo đảm an toàn thông tin mạng quốc gia theo quy định của pháp luật; là đầu mối của Bộ Thông tin và Truyền thông phối hợp với các cơ quan, tổ chức trong công tác ứng cứu sự cố, bảo đảm an toàn thông tin mạng;

Xem thêm: Sản phẩm, dịch vụ an toàn thông tin mạng là gì? Điều kiện và thủ tục cấp phép kinh doanh sản phẩm, dịch vụ an toàn thông tin mạng

Như vậy trên đây là toàn bộ thông tin về Cảnh báo về lỗ hổng an toàn thông tin nghiêm trọng trong các sản phẩm Microsoft mà Công ty Luật Minh Khuê muốn gửi đến quý khách mang tính tham khảo. Nếu quý khách còn vướng mắc về vấn đề trên hoặc mọi vấn đề pháp lý khác, quý khách hãy vui lòng liên hệ trực tiếp với chúng tôi qua Luật sư tư vấn pháp luật trực tuyến theo số điện thoại 1900.6162 để được Luật sư tư vấn pháp luật trực tiếp qua tổng đài kịp thời hỗ trợ và giải đáp mọi thắc mắc.

Nếu quý khách cần báo giá dịch vụ pháp lý thì quý khách có thể gửi yêu cầu báo phí dịch vụ đến địa chỉ email: lienhe@luatminhkhue.vn để nhận được thông tin sớm nhất! Rất mong nhận được sự hợp tác và tin tưởng của quý khách! Luật Minh Khuê xin trân trọng cảm ơn!