Η Microsoft κυκλοφόρησε δύο ενημερωμένες εκδόσεις ασφαλείας εκτός προγραμματισμού για την αντιμετώπιση ζητημάτων ασφαλείας στη βιβλιοθήκη Windows Codecs και στην εφαρμογή Visual Studio Code.
Οι δύο ενημερώσεις έρχονται μετά τη μηνιαία κυκλοφορία των ενημερώσεων ασφαλείας την περασμένη Τρίτη, που διόρθωσαν 87 ευπάθειες.
Και οι δύο νέες ευπάθειες επιτρέπουν την εκτέλεση κώδικα από μακριά.
Το πρώτο σφάλμα έχει τεκμηριωθεί σαν CVE-2020-17022 και η Microsoft αναφέρει ότι οι εισβολείς μπορούν να δημιουργήσουν κακόβουλες εικόνες που όταν υποβάλλονται σε επεξεργασία από μια εφαρμογή των Windows, μπορούν να επιτρέψουν στον εισβολέα να τρέξει κώδικα στο λειτουργικό σύστημα των Windows.
Επηρεάζονται όλες οι εκδόσεις των Windows 10.
Η Microsoft ανέφερε ότι μια ενημέρωση για αυτήν τη βιβλιοθήκη θα εγκατασταθεί αυτόματα στα συστήματα των χρηστών μέσω του Microsoft Store.
Δεν επηρεάζονται όλοι οι χρήστες, αλλά μόνο εκείνοι που έχουν εγκαταστήσει τους προαιρετικούς κωδικοποιητές media HEVC ή “HEVC from Device Manufacturer” από το Microsoft Store.
Το HEVC είναι διαθέσιμο μόνο μέσω του Microsoft Store. Η συγκεκριμένη βιβλιοθήκη δεν υποστηρίζεται επίσης στον Windows Server.
Για να ελέγξετε και να δείτε αν χρησιμοποιείτε κάποιον ευπαθή κωδικοποιητή HEVC, μπορείτε να κοιτάξετε στις Ρυθμίσεις, Εφαρμογές και δυνατότητες. Επιλέξτε HEVC, Επιλογές για προχωρημένους. Οι ασφαλείς εκδόσεις είναι οι 1.0.32762.0, 1.0.32763.0 ή οι νεότερες εκδόσεις.
Το δεύτερο σφάλμα έχει τεκμηριωθεί σαν CVE-2020-17023 και η Microsoft αναφέρει ότι οι εισβολείς μπορούν να δημιουργήσουν κακόβουλα αρχεία package.json τα οποία, όταν φορτώνονται στο Visual Studio Code, μπορούν να τρέξουν κακόβουλο κώδικα.
Ανάλογα με τα δικαιώματα του χρήστη, ο κώδικας του εισβολέα θα μπορούσε να τρέξει με δικαιώματα διαχειριστή και να του επιτρέψει τον πλήρη έλεγχο ενός μολυσμένου κεντρικού υπολογιστή.
Τα αρχεία Package.json χρησιμοποιούνται τακτικά με βιβλιοθήκες και JavaScript projects. Η JavaScript, και ειδικά η τεχνολογία Node.js από την πλευρά του διακομιστή, είναι σήμερα μια από τις πιο δημοφιλείς τεχνολογίες.
Φυσικά συνιστάται στους χρήστες του Visual Studio Code να ενημερώσουν την εφαρμογή το συντομότερο δυνατό στην τελευταία έκδοση.
