Microsoft vá thêm lỗi RCE ngay sau khi phát hành cập nhật tháng

[WhiteHat News #ID:2112]

Microsoft vừa phát hành thêm các bản vá lỗi cho hai lỗ hổng RCE “quan trọng” trong Windows Codecs Library và Visual Studio Code. Kẻ tấn công có thể khai thác những lỗ hổng này để chiếm quyền kiểm soát một hệ thống bị ảnh hưởng.

Lỗ hổng (CVE-2020-17023) trong Visual Studio Code là một trình soạn thảo mã nguồn miễn phí do Microsoft tạo ra cho Windows, Linux và macOS. Lỗ hổng còn lại (CVE-2020-17022) nằm trong Thư viện Codec của Microsoft Windows, mô-đun codecs cung cấp các giao diện luồng và tệp để chuyển mã dữ liệu trong các chương trình Windows.

Theo Microsoft, CVE-2020-17022 bắt nguồn từ cách mà Windows Codecs Library xử lý các đối tượng trong bộ nhớ. Lỗ hổng này có điểm CVSS là 7,8 trên 10. Khai thác thành công lỗ hổng, kẻ tấn công có thể thực thi mã tùy ý. Tuy nhiên, việc khai thác yêu cầu chương trình xử lý một tệp hình ảnh được chế tạo đặc biệt.

Chỉ những khách hàng đã cài đặt codec phương tiện HEVC tùy chọn hoặc “HEVC từ Nhà sản xuất thiết bị” từ Microsoft Store mới có thể bị tấn công. Các phiên bản an toàn là 1.0.32762.0, 1.0.32763.0 và mới hơn.

Lỗ hổng “quan trọng” khác (cũng có điểm CVSS là 7,8 trên 10) tồn tại trong Visual Studio Code, khi người dùng bị lừa mở một tệp ‘package.json’ độc hại.

Theo Microsoft, kẻ tấn công khai thác thành công lỗ hổng này (CVE-2020-17023) có thể chạy mã tùy ý trong bối cảnh của người dùng hiện tại. Tuy nhiên, kẻ tấn công cần thuyết phục mục tiêu sao chép kho lưu trữ và mở nó trong Visual Studio Code (thông qua kỹ thuật xã hội hoặc cách khác). Mã độc của kẻ tấn công sẽ thực thi khi mục tiêu mở tệp ‘package.json’ độc hại. Sau đó, kẻ tấn công có thể cài đặt các chương trình; xem, thay đổi hoặc xóa dữ liệu; hoặc tạo tài khoản mới với đầy đủ quyền của người dùng.

Bản cập nhật của Microsoft giải quyết lỗ hổng bằng cách sửa đổi cách Visual Studio Code xử lý tệp JSON.

Microsoft cho biết cả hai lỗ hổng đều chưa bị khai thác trong thực tế. Khách hàng bị ảnh hưởng sẽ được Microsoft Store cập nhật tự động. Khách hàng không cần thực hiện bất kỳ hành động nào để được bản cập nhật.


Các bản vá lỗi này được đưa ra vài ngày sau bản cập nhật Patch Tuesday tháng 10 của Microsoft, trong đó Microsoft đã phát hành các bản sửa lỗi cho 87 lỗ hổng bảo mật, 11 trong số đó là nghiêm trọng.

Theo Threatpost