微軟發(fā)布緊急補丁以解決兩個RCE缺陷

盡管Microsoft于10月13日發(fā)布了本月的星期二補丁程序，但該公司還是在10月15日發(fā)布了兩個緊急更新，以解決Windows Codecs庫和Visual Studio Code的遠程執(zhí)行代碼漏洞。

美國國土安全部的CISA是最早宣布推出新更新的人之一，該公司在其網(wǎng)站上發(fā)布了一份建議，建議管理員盡快修補其設(shè)備。

“ Microsoft已發(fā)布安全更新，以解決影響Windows Codecs庫和Visual Studio Code的遠程代碼執(zhí)行漏洞。攻擊者可能利用這些漏洞來控制受影響的系統(tǒng)。網(wǎng)絡(luò)安全和基礎(chǔ)架構(gòu)安全局(CISA)鼓勵用戶和管理員查看有關(guān)CVE-2020-17022和CVE-2020-17023的Microsoft安全公告，并應(yīng)用必要的更新。”

Microsoft在10月15日發(fā)布的新帶外CVE是：

CVE-2020-17022 | Microsoft Windows編解碼器庫遠程執(zhí)行代碼漏洞

CVE-2020-17023 | Visual Studio JSON遠程執(zhí)行代碼漏洞

首先，RCE漏洞影響Windows編解碼器庫。

微軟警告說，攻擊者必須使用未打補丁的系統(tǒng)說服潛在受害者打開特制圖像文件。發(fā)生這種情況時，攻擊者最終可以運行任意代碼，因此該修補程序的作用是解決庫如何處理內(nèi)存中的對象。

該漏洞影響市場上的所有Windows 10版本，包括2004版或2020年5月更新。它被賦予了重要的嚴重等級。

“ Microsoft Windows Codecs庫處理內(nèi)存中對象的方式中存在一個遠程執(zhí)行代碼漏洞。成功利用此漏洞的攻擊者可以執(zhí)行任意代碼。利用此漏洞需要程序處理經(jīng)特殊設(shè)計的圖像文件。該更新通過更正Microsoft Windows Codecs庫如何處理內(nèi)存中的對象來解決該漏洞。”

然后是Visual Studio漏洞。

Microsoft解釋說，成功的攻擊需要惡意的參與者說服目標克隆一個存儲庫，然后在Visual Studio Code中打開它。盡管這顯然是一種更為復(fù)雜的攻擊，但如果滿足了先決條件，一旦惡意package.json文件啟動，攻擊者將能夠控制未修補的系統(tǒng)。

微軟解釋說，帶外補丁通過簡單地修改Visual Studio Code處理JSON文件的方式來解決該漏洞。

“當用戶被誘騙打開惡意的“ package.json”文件時，Visual Studio Code中存在一個遠程執(zhí)行代碼漏洞。成功利用此漏洞的攻擊者可以在當前用戶的上下文中運行任意代碼。如果當前用戶使用管理用戶權(quán)限登錄，則攻擊者可以控制受影響的系統(tǒng)。然后，攻擊者可能會安裝程序。查看，更改或刪除數(shù)據(jù);或創(chuàng)建具有完全用戶權(quán)限的新帳戶。”該公司指出。

與其他漏洞一樣，Visual Studio Code也具有重要的嚴重等級。

好消息是，這兩個安全漏洞均已秘密披露，并且Microsoft確認它不知道野外正在發(fā)生任何活躍的利用。因此，歸根結(jié)底，Microsoft如此快地發(fā)布新補丁是一件好事，因為這樣，如果任何惡意行為者試圖利用這兩個漏洞，用戶都可