微软紧急修复两个 RCE，影响 Windows Codecs 库和 Visual Studio

Catalin Cimpanu 代码卫士 2022-04-06

聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

微软发布了两个带外安全更新，解决了 Windows Codecs 库和 Visual Studio Code 应用中的安全问题。这是继微软本月补丁星期二修复87个漏洞之后发布的。这两个漏洞均为“远程代码执行”缺陷，可导致攻击者在受影响系统上执行代码。

01Windows Codecs 库漏洞

第一个漏洞是CVE-2020-17022。微软表示攻击者可以构造恶意镜像，如被在 Windows 运行的 app 的处理，则可导致攻击者在未修复的 Windows OS 执行代码。

所有 Windows 10 版本均受影响。

微软表示，这个库的更新将通过 Microsoft Store 自动安装在用户系统上。

并非所有用户均受影响，只有从 Microsoft Store 中安装了可选的 HEVC 或 “HEVC from Device Manufacturer” 媒体编解码器才受影响。

HEVC 并不存在离线分发版本，仅可通过 Microsoft Store 获取。Windows Server 并不支持该库。

要查看是否使用易受攻击的 HEVC 编解码器，用户可访问设置→应用和功能→HEVC→高级选项查看。安全版本是1.0.32762.0、1.0.32763.0及后续版本。

02Visual Studio Code 漏洞

第二个漏洞是 CVE-2020-17023。微软指出，攻击者可以构造恶意 package.json 文件。将该文件加载在 Visual Studio Code 时，攻击者就能够执行恶意代码。

根据用户权限的不同，攻击者可以管理员权限执行代码并完全控制受感染主机。

Package.json 文件常用于 JavaScript 库和项目中。JavaScript 尤其是其服务器端的 Node.js 技术，是当前最流行的技术之一。

建议Visual Studio Code 用户将 app 尽快更新至最新版本。

原文链接

https://www.zdnet.com/article/microsoft-releases-emergency-security-updates-for-windows-and-visual-studio/

题图：Pixabay License

文内图：bleepingcomputer

本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。

觉得不错，就点个 “在看” 吧~