Η Microsoft κυκλοφόρησε έκτακτες ενημερώσεις ασφαλείας για την αντιμετώπιση δύο ευπαθειών που επιτρέπουν την απομακρυσμένη εκτέλεση κώδικα (RCE) και επηρεάζουν τα Microsoft Windows Codecs Library και Visual Studio Code.

Οι δύο ευπάθειες έχουν ονομαστεί CVE-2020-17022 και CVE-2020-17023 και θεωρούνται πολύ σοβαρές. Ωστόσο, λέγεται ότι δεν έχουν χρησιμοποιηθεί ακόμα από εγκληματίες του κυβερνοχώρου.

Η ευπάθεια CVE-2020-17022 αναφέρθηκε στη Microsoft από τον Dhanesh Kizhakkinan της FireEye Inc., ενώ η CVE-2020-17023 αναφέρθηκε από τον Justin Steven.

Μόνο τα Windows 10 είναι ευάλωτα

Η ευπάθεια απομακρυσμένης εκτέλεσης κώδικα, CVE-2020-17022, που εντοπίζεται στο Microsoft Windows Codecs Library, επηρεάζει όλες τις συσκευές που εκτελούν Windows 10 (έκδοση 1709 ή μεταγενέστερη έκδοση) και μια ευπαθή έκδοση βιβλιοθήκης.

Η ευπάθεια έχει να κάνει με τον τρόπο με τον οποίο το Microsoft Windows Codecs Library χειρίζεται στοιχεία στη μνήμη. Για να γίνει εκμετάλλευση της ευπάθειας, απαιτείται ένα πρόγραμμα για την επεξεργασία ενός ειδικά επεξεργασμένου αρχείου εικόνας.

Η Micrοsoft, ωστόσο, αναφέρει ότι οι συσκευές Windows 10 δεν είναι ευάλωτες στην προεπιλεγμένη διαμόρφωσή τους. “Μόνο οι πελάτες που έχουν εγκαταστήσει HEVC ή ‘HEVC from Device Manufacturer’ media codecs από το Microsoft Store, ενδέχεται να είναι ευάλωτοι“.

Γι’ αυτό το λόγο, οι χρήστες πρέπει να είναι σίγουροι ότι χρησιμοποιούν τις τελευταίες εκδόσεις. Οι ασφαλείς εκδόσεις, σύμφωνα με τη Micrοsoft, είναι οι 1.0.32762.0, 1.0.32763.0 και οι μεταγενέστερες.

Η Microsoft διόρθωσε δύο παρόμοια σφάλματα RCE τον Ιούνιο, προκαλώντας σύγχυση στους χρήστες

, καθώς οι ενημερώσεις προωθήθηκαν μέσω του Microsoft Store αντί του Windows Update.

Όσον αφορά στην ευπάθεια CVE-2020-17023, που εντοπίστηκε στο Visual Studio Code, ενεργοποιείται όταν οι χρήστες ανοίγουν ένα κακόβουλο αρχείο “package.json”. Η ευπάθεια επιτρέπει στους επιτιθέμενους να εκτελούν απομακρυσμένα κώδικα.

Εάν ο χρήστης έχει δικαιώματα διαχειριστή, η επιτυχημένη εκμετάλλευση της ευπάθειας μπορεί να επιτρέψει και τη δημιουργία ψεύτικων λογαριασμών διαχειριστή σε παραβιασμένες συσκευές Windows.

Σύμφωνα με τη Microsoft, η CVE-2020-17023 ουσιαστικά προσπαθεί να παρακάμψει την ενημερωμένη έκδοση που διόρθωνε την ευπάθεια CVE-2020-16881, ένα άλλο RCE σφάλμα στο Visual Studio Code. Αυτή η έκδοση είχε κυκλοφορήσει στις 8 Σεπτεμβρίου.

Οι ενημερώσεις θα εγκατασταθούν αυτόματα

Σύμφωνα με το Bleepingcomputer, οι χρήστες δεν χρειάζεται να κάνουν καμία ενέργεια για να ασφαλίσουν τους υπολογιστές τους από την ευπάθεια CVE-2020-17022, καθώς η ενημέρωση ασφαλείας θα παραδοθεί αυτόματα, μέσω του Microsoft Store, σε όλες τις συσκευές που επηρεάζονται (εκτός εάν απενεργοποιηθεί η αυτόματη ενημέρωση για εφαρμογές του Microsoft Store).

Διαφορετικά, οι χρήστες μπορούν να ελέγξουν για ενημερώσεις με Micrοsoft Store App.