text: BỘ THÔNG TIN TRUYỀN THÔNG CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
CỤC AN TOÀN THÔNG TIN Độc lập - Tự do - Hạnh phúc
Số: 122/CATTT-NCSC Hà Nội, ngày 12 tháng 09 năm 2023
V/v lỗ hổng an toàn thông tin ảnh hưởng
cao và nghiêm trọng trong các sản phẩm
Microsoft công bố tháng 11/2023
Kính gửi:
- Đơn vị chuyên trách về CNTT các Bộ, cơ quan ngang Bộ,
cơ quan thuộc Chính phủ;
- Sở Thông tin và Truyền thông các tỉnh, thành phố trực thuộc
Trung ương;
- Các Tập đoàn, Tổng công ty nhà nước; các Ngân hàng
TMCP; các tổ chức tài chính;
- Hệ thống các đơn vị chuyên trách về an toàn thông tin.
Ngày 14/11/2023, Microsoft đã phát hành danh sách bản vá tháng 11 với
63 lỗ hổng an toàn thông tin trong các sản phẩm của mình. Bản phát hành tháng
này đặc biệt đáng chú ý vào các lỗ hổng an toàn thông tin có mức ảnh hưởng cao
và nghiêm trọng sau:
- Lỗ hổng an toàn thông tin CVE-2023-36397 trong Windows Pragmatic
General Multicast cho phép đối tượng tấn công không cần xác thực có thể thực
thi mã từ xa.
- Lỗ hổng an toàn thông tin CVE-2023-36400 trong Windows HMAC Key
Derivation cho phép đối tượng tấn công thực hiện leo thang đặc quyền.
- Lỗ hổng an toàn thông tin CVE-2023-36025 cho phép đối tượng tấn công
vượt qua tính năng bảo mật SmartScreen của Windows. Lỗ hổng hiện đang bị khai
thác trong thực tế.
- Lỗ hổng an toàn thông tin CVE-2023-36038 trong ASP.NET Core cho
phép đối tượng tấn công thực hiện tấn công từ chối dịch vụ (DoS). Thông tin chi
tiết về lỗ hổng đã được công bố trong thực tế.
- Lỗ hổng an toàn thông tin CVE-2023-36439 trong Microsoft Exchange
Server cho phép đối tượng tấn công thực thi mã từ xa.
- Lỗ hổng an toàn thông tin CVE-2023-36033 trong Windows Desktop
Manager cho phép đối tượng tấn công thực hiện leo thang đặc quyền. Lỗ hổng
hiện đang bị khai thác trong thực tế.
- Lỗ hổng an toàn thông tin CVE-2023-36036 trong Windows Cloud Files
Mini Filter Driver cho phép đối tượng tấn công thực hiện leo thang đặc quyền. Lỗ
hổng hiện đang bị khai thác trong thực tế.

2
- Lỗ hổng an toàn thông tin CVE-2023-36041 trong Microsoft Excel cho
phép đối tượng tấn công thực thi mã từ xa.
- Lỗ hổng an toàn thông tin CVE-2023-36413 cho phép đối tượng tấn công
vượt qua tính năng bảo mật của Microsoft Office. Thông tin chi tiết về lỗ hổng đã
được công bố trong thực tế.
- Lỗ hổng an toàn thông tin CVE-2023-38177 trong Microsoft SharePoint
Server cho phép đối tượng tấn công thực thi mã từ xa.
Thông tin chi tiết các lỗ hổng bảo mật có tại phụ lục kèm theo.
Nhằm đảm bảo an toàn thông tin cho hệ thống thông tin của Quý đơn vị,
góp phần bảo đảm an toàn cho không gian mạng Việt Nam, Cục An toàn thông
tin khuyến nghị Quý đơn vị thực hiện:
1. Kiểm tra, rà soát, xác định máy tính sử dụng hệ điều hành Windows có
khả năng bị ảnh hưởng. Thực hiện cập nhật bản vá kịp thời để tránh nguy cơ bị
tấn công (tham khảo thông tin tại Phụ lục kèm theo).
2. Tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có
dấu hiệu bị khai thác, tấn công mạng; đồng thời thường xuyên theo dõi kênh cảnh
báo của các cơ quan chức năng và các tổ chức lớn về an toàn thông tin để phát
hiện kịp thời các nguy cơ tấn công mạng.
3. Trong trường hợp cần thiết có thể liên hệ đầu mối hỗ trợ của Cục An toàn
thông tin: Trung tâm Giám sát an toàn không gian mạng quốc gia, điện thoại
02432091616, thư điện tử: ncsc@ais.gov.vn.
Trân trọng./.
Nơi nhận: KT. CỤC TRƯỞNG
- Như trên; PHÓ CỤC TRƯỞNG
- Bộ trưởng (để b/c);
- Thứ trưởng Nguyễn Huy Dũng (để b/c);
- Cục A05, Bộ Công an;
- Bộ Tư lệnh 86, Bộ Quốc phòng;
- Ban Cơ yếu Chính phủ;
- Đơn vị chuyên trách về ATTT của: Văn phòng
Trung ương Đảng; Văn phòng Quốc hội; Văn phòng
Chủ tịch nước; Tòa án Nhân dân tối cao; Viện Kiểm
sát Nhân dân tối cao; Trần Đăng Khoa
- Các Cục: Viễn thông, Bưu điện Trung ương;
- Các Trung tâm: TTTT, VNNIC;
- Cục trưởng (để b/c);
- Các Phó Cục trưởng;
- P. ATHTTT, VNCERT/CC;
- Lưu: VT, NCSC.LTQ.

3
Phụ lục
THÔNG TIN VỀ CÁC LỖ HỔNG AN TOÀN THÔNG TIN
TRONG SẢN PHẨM MICROSOFT
(Kèm theo Công văn số /CATTT-NCSC
ngày / /2023 của Cục An toàn thông tin)
1. Thông tin các lỗ hổng an toàn thông tin
STT CVE Mô tả Link tham khảo
- Điểm: CVSS: 9.8
(Nghiêm trọng)
- Mô tả: Lỗ hổng trong
Windows Pragmatic
General Multicast cho
https://msrc.microsoft.co
phép đối tượng tấn công m/update-
1 CVE-2023-36397
không cần xác thực có thể guide/vulnerability/CVE-
thực thi mã từ xa. 2023-36397
- Ảnh hưởng: Windows 10,
Windows 11, Windows
Server 2008, 2012, 2016,
2019, 2022
- Điểm: CVSS: 8.8
(Nghiêm trọng)
- Mô tả: Lỗ hổng trong
Windows HMAC Key https://msrc.microsoft.co
Derivation cho phép đối m/update-
2 CVE-2023-36400
tượng tấn công thực hiện guide/vulnerability/CVE-
leo thang đặc quyền. 2023-36400
- Ảnh hưởng: Windows 10,
Windows 11, Windows
Server 2016, 2019, 2022.
- Điểm: CVSS: 8.8 (Cao)
- Mô tả: Lỗ hổng cho phép
đối tượng tấn công vượt
qua tính năng bảo mật
SmartScreen của https://msrc.microsoft.co
Windows. Lỗ hổng hiện m/update-
3 CVE-2023-36025
đang bị khai thác trong guide/vulnerability/CVE-
thực tế. 2023-36025
- Ảnh hưởng: Windows
10, Windows 11,
Windows Server 2008,
2012, 2016, 2019, 2022.

4
STT CVE Mô tả Link tham khảo
- Điểm: CVSS: 8.2 (Cao)
- Mô tả: Lỗ hổng trong
ASP.NET Core cho phép
đối tượng tấn công thực
https://msrc.microsoft.co
hiện tấn công từ chối dịch
m/update-
4 CVE-2023-36038 vụ (DoS). Thông tin chi tiết
guide/vulnerability/CVE-
về lỗ hổng đã được công bố
2023-36038
trong thực tế.
- Ảnh hưởng: ASP.NET
Core, .NET, Visual Studio
2022.
- Điểm: CVSS: 8.0 (Cao)
- Mô tả: Lỗ hổng trong
Microsoft Exchange https://msrc.microsoft.co
Server cho phép đối tượng m/update-
5 CVE-2023-36439
tấn công thực thi mã từ xa. guide/vulnerability/CVE-
- Ảnh hưởng: Microsoft 2023-36439
Exchange Server 2016,
2019.
- Điểm: CVSS: 7.8 (Cao)
- Mô tả: Lỗ hổng trong
Windows Desktop
Manager cho phép đối
tượng tấn công thực hiện https://msrc.microsoft.co
leo thang đặc quyền. Lỗ m/update-
6 CVE-2023-36033
hổng hiện đang bị khai guide/vulnerability/CVE-
thác trong thực tế. 2023-36033
- Ảnh hưởng: Windows
10, Windows 11,
Windows Server 2019,
2022.
- Điểm: CVSS: 7.8 (Cao)
- Mô tả: Lỗ hổng trong
Windows Cloud Files
Mini Filter Driver cho https://msrc.microsoft.co
phép đối tượng tấn công m/update-
7 CVE-2023-36036
thực hiện leo thang đặc guide/vulnerability/CVE-
quyền. Lỗ hổng hiện đang 2023-36036
bị khai thác trong thực tế.
- Ảnh hưởng: Windows
10, Windows 11,

5
STT CVE Mô tả Link tham khảo
Windows Server 2019,
2022.
- Điểm: CVSS: 7.8 (Cao)
- Mô tả: Lỗ hổng trong
Microsoft Excel cho phép https://msrc.microsoft.co
đối tượng tấn công thực m/update-
8 CVE-2023-36041
thi mã từ xa. guide/vulnerability/CVE-
- Ảnh hưởng: Microsoft 2023-36041
Excel, Microsoft Office,
Microsoft 365 Apps.
- Điểm: CVSS: 6.5 (Cao)
- Mô tả: Lỗ hổng cho phép
đối tượng tấn công vượt
qua tính năng bảo mật của https://msrc.microsoft.co
Microsoft Office. Thông m/update-
9 CVE-2023-36413
tin chi tiết về lỗ hổng đã guide/vulnerability/CVE-
được công bố trong thực tế. 2023-36413
- Ảnh hưởng: Microsoft
Office, Microsoft 365
Apps.
- Điểm: CVSS: 6.1 (Cao)
- Mô tả: Lỗ hổng trong
Microsoft SharePoint https://msrc.microsoft.co
Server cho phép đối tượng m/update-
10 CVE-2023-38177
tấn công thực thi mã từ xa. guide/vulnerability/CVE-
- Ảnh hưởng: Microsoft 2023-38177
SharePoint Server 2016,
2019.
2. Hướng dẫn khắc phục
Biện pháp tốt nhất để khắc phục là cập nhật bản vá cho các lỗ hổng an toàn
thông tin nói trên theo hướng dẫn của hãng. Quý đơn vị tham khảo các bản cập
nhật phù hợp cho các sản phẩm đang sử dụng tại link nguồn tham khảo tại mục 1
của Phụ lục.
3. Tài liệu tham khảo
https://msrc.microsoft.com/update-guide/
https://www.zerodayinitiative.com/blog/2023/11/14/the-november-2023-
security-update-review