微软紧急修复两个 RCE，影响 Windows Codecs 库和 Visual Studio

 聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

微软发布了两个带外安全更新，解决了 Windows Codecs 库和 Visual Studio Code 应用中的安全问题。这是继微软本月补丁星期二修复87个漏洞之后发布的。这两个漏洞均为“远程代码执行”缺陷，可导致攻击者在受影响系统上执行代码。

01Windows Codecs 库漏洞

第一个漏洞是CVE-2020-17022。微软表示攻击者可以构造恶意镜像，如被在 Windows 运行的 app 的处理，则可导致攻击者在未修复的 Windows OS 执行代码。

所有 Windows 10 版本均受影响。

微软表示，这个库的更新将通过 Microsoft Store 自动安装在用户系统上。

并非所有用户均受影响，只有从 Microsoft Store 中安装了可选的 HEVC 或 “HEVC from Device Manufacturer” 媒体编解码器才受影响。

HEVC 并不存在离线分发版本，仅可通过 Microsoft Store 获取。Windows Server 并不支持该库。

要查看是否使用易受攻击的 HEVC 编解码器，用户可访问设置→应用和功能→HEVC→高级选项查看。安全版本是1.0.32762.0、1.0.32763.0及后续版本。

02Visual Studio Code 漏洞

第二个漏洞是 CVE-2020-17023。微软指出，攻击者可以构造恶意 package.json 文件。将该文件加载在 Visual Studio Code 时，攻击者就能够执行恶意代码。

根据用户权限的不同，攻击者可以管理员权限执行代码并完全控制受感染主机。

Package.json 文件常用于 JavaScript 库和项目中。JavaScript 尤其是其服务器端的 Node.js 技术，是当前最流行的技术之一。

建议Visual Studio Code 用户将 app 尽快更新至最新版本。

推荐阅读

奇安信代码安全实验室帮助微软修复两个“重要”漏洞，获官方致谢
微软紧急修复 Windows codecs 库中的两个 RCE 漏洞
微软紧急更新 Windows 8.1 和 Server 2012 R2，修复两个严重漏洞

原文链接

https://www.zdnet.com/article/microsoft-releases-emergency-security-updates-for-windows-and-visual-studio/

题图：Pixabay License

文内图：bleepingcomputer

本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。

    觉得不错，就点个 “在看” 吧~