Η Microsoft δημοσίευσε χθες δύο ενημερώσεις ασφαλείας (που δεν ήταν προγραμματισμένες) για να διορθώσει δύο ευπάθειες που εντοπίστηκαν πρόσφατα στο Microsoft Windows Codecs Library.
Οι δύο ευπάθειες έχουν ονομαστεί CVE-2020-1425 & CVE-2020-1457 και απ’ ότι φαίνεται επηρεάζουν μόνο τις διανομές Windows 10 και Windows Server 2019.
Στα security advisories που δημοσιεύθηκαν χθες, η Microsoft δήλωσε ότι τα δύο σφάλματα ασφαλείας μπορούν να χρησιμοποιηθούν από εγκληματίες του κυβερνοχώρου με τη βοήθεια ενός ειδικά κατασκευασμένου αρχείου εικόνας.
Εάν οι κακόβουλες εικόνες ανοιχτούν μέσα σε εφαρμογές που χρησιμοποιούν την ενσωματωμένη βιβλιοθήκη Windows Codecs (για το χειρισμό περιεχομένου πολυμέσων), τότε οι επιτιθέμενοι θα είναι σε θέση να εκτελέσουν κακόβουλο κώδικα στον Windows υπολογιστή ή ακόμα και να πάρουν τον πλήρη έλεγχο του ευάλωτου μηχανήματος.
Η ίδια η Microsoft περιέγραψε τα δύο σφάλματα ως RCE, δηλαδή ευπάθειες που επιτρέπουν στους επιτιθέμενους να εκτελέσουν κώδικα στο ευάλωτο Windows σύστημα, απομακρυσμένα. Ωστόσο, η εταιρεία κυκλοφόρησε τις “επείγουσες” ενημερώσεις χθες και τις διόρθωσε.
Οι ενημερώσεις κώδικα της Microsoft έχουν αναπτυχθεί στα συστήματα των πελατών μέσω μιας ενημέρωσης στο Windows Codecs Library, που παραδίδεται μέσω της εφαρμογής Windows Store και όχι μέσω του μηχανισμού Windows Update.
“Οι πελάτες δεν χρειάζεται να προβούν σε καμία ενέργεια για να λάβουν την ενημέρωση“, δήλωσε η Microsoft.
Σύμφωνα με τα στοιχεία που υπάρχουν, οι επιτιθέμενοι δεν είχαν προλάβει να χρησιμοποιήσουν τις δύο ευπάθειες για να πραγματοποιήσουν τις επιθέσεις. Η Microsoft πρόλαβε να κυκλοφορήσει τις ενημερώσεις πριν οι ευπάθειες γίνουν γνωστές στο ευρύ κοινό.
Η εταιρεία είπε ότι έμαθε για τα σφάλματα μετά από μια αναφορά από το Zero Day Initiative της Trend Micro, ένα πρόγραμμα που διευκολύνει τις επικοινωνίες μεταξύ ερευνητών ασφαλείας και μεγαλύτερων εταιρειών. Η Microsoft συνεχάρη τον ερευνητή Abdul-Aziz Hariri για την ανακάλυψη των σφαλμάτων και την άμεση ενημέρωση.