微软紧急修复 Windows codecs 库中的两个 RCE 漏洞

聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

周二，微软发布两个带外安全更新，修复了 Windows Codecs Library中的两个漏洞CVE-2020-1425 和 CVE-2020-1457。

微软在安全公告中并未提供关于任何攻击向量的具体详情，但表示攻击者可借助一个特殊构造的图像文件利用这两个漏洞。如果在使用内置 Windows Codecs Library 处理多媒体内容的 app 中打开恶意图像，则攻击者能够在 Windows 计算机中运行恶意代码并可能接管设备。

这两个漏洞均与受影响的 Windows 组件处理内存对象的方式有关，CVSS 评分均为7.3，不过微软表示，CVE-2020-1425 为“严重”级别而CVE-2020-1457 为“高危”级别。第一个漏洞可导致攻击者收割数据以便进一步攻陷系统；而第二个漏洞可导致任意代码执行后果。

这两个漏洞影响如下版本：

Windows 10 版本1709、1803、1809、1903、1909 和2004（32位系统和64位系统）
基于 ARM64 的系统
Windows Server 2019
Windows Server 版本1709、1903和2004 (Server CoreInstallation)

微软已修复上述两个 RCE 漏洞，并通过 Windows Codecs library 更新将补丁部署到客户系统。用户可在 Windows Store app （而非 Windows Update 机制中）获取补丁。

据悉，这两个漏洞首先是由 Abdul-Aziz Hariri 私下告知微软的，之后这名研究员所在的趋势科技 ZDI 团队向微软提交漏洞报告。

微软表示，不存在应变措施或缓解措施，同时也并未发现遭在野利用的迹象。

推荐阅读

奇安信代码卫士帮助微软修复多个高危漏洞，获官方致谢

微软推出 Azure Sphere 漏洞奖励计划，最高奖金10万美元

微软反向 RDP 漏洞补丁不当，第三方 RDP 客户端易受攻击

原文链接

https://www.zdnet.com/article/microsoft-releases-emergency-security-update-to-fix-two-bugs-in-windows-codecs/

https://www.securityweek.com/windows-codecs-library-vulnerabilities-allow-remote-code-execution

题图：Pixabay License

本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 www.codesafe.cn”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。

点个 “在看” ，加油鸭~

微软紧急修复 Windows codecs 库中的两个 RCE 漏洞相关推荐

VM2 JavaScript 沙箱库中存在严重的 RCE 漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士热门的 JavaScript 沙箱 VM2 库中存在一个严重的 RCE 漏洞 (CVE-2023-29017).多款软件使用该哭在虚拟化环境中安 ...
谷歌修复安卓System 组件中的多个 RCE 漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队本周,谷歌发布4月份安全补丁,共修复了50多个漏洞,包括4个严重的安卓 System 组件漏洞. 这四个严重漏洞均可导致远程代码执行后 ...
微软紧急修复两个 RCE，影响 Windows Codecs 库和 Visual Studio
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队微软发布了两个带外安全更新,解决了 Windows Codecs 库和 Visual Studio Code 应用中的安全问题.这是继 ...
微软紧急发布Windows XP/7 WannaCry漏洞补丁
微软紧急发布Windows XP/7 WannaCry漏洞补丁近日,微软发出漏洞警告,并罕见的为已经停止支持的Windows XP提供了漏洞补丁. 据悉,该漏洞影响范围包括Windows XP,Wi ...
欧姆龙修复PLC编程软件中的多个高危漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士摘要日本电子巨头欧姆龙最近修复了 CX-Programmer 软件中的多个高危漏洞,它们可用于执行远程代码. 日本JPCERT/CC 本月初发 ...
利用Windows 2003系统中实现两个网段的路由
利用Windows 2003系统中实现两个网段的路由当一个局域网中存在两个以上网段时,分属于不同网段内的主机彼此互不可见.为了解决这个问题,就必须在不同的网段之间设置路由器.如果花费上万元资金购买 ...
PrinterLogic 厂商修复影响所有联网端点的3个RCE漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士雅虎漏洞研究团队 Paranoids 的研究人员在企业打印管理软件 PrinterLogic 中发现了3个漏洞,可导致攻击者在所有联网端点上执行 ...
win2003服务器漏洞要修复吗,微软紧急发布Windows远程桌面高危漏洞补丁涉及XP 2003...
微软应急响应中心近日披露了WindowsServer2003,WindowsServer2008R2及WindowsServer2008的操作系统版本上存在的一个高危安全风险(漏洞编号:CVE-201 ...
微软紧急修复FIP-FS中的 “Year 2022” 漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士由于FIP-FS 反恶意软件扫描引擎中出现了 "Year 2022" 漏洞,从2022年1月1日开始,微软 Exchange ...

微软紧急修复 Windows codecs 库中的两个 RCE 漏洞

微软紧急修复 Windows codecs 库中的两个 RCE 漏洞相关推荐

最新文章

热门文章