CISA cảnh báo lỗi thực thi mã từ xa trong Visual Studio và Windows Codecs Library

[WhiteHat News #ID:2017]

Cơ quan An ninh cơ sở hạ tầng và An ninh mạng Mỹ (CISA) khuyến cáo người dùng cập nhật bản vá của hai lỗ hổng thực thi mã từ xa ảnh hưởng đến Windows Codec Library và Visual Studio Code.

Các bản vá đã được phát hành vài ngày sau bản cập nhật Patch Tuesday tháng 10 năm 2020 của Microsoft.

Lỗ hổng đầu tiên bắt nguồn từ cách thức Codecs Library trong Microsoft Windows xử lý các đối tượng trong bộ nhớ. Lỗ hổng có thể bị khai thác trong quá trình xử lý một tệp hình ảnh đặc biệt, từ đó có thể cho phép kẻ tấn công thực thi thành công mã tùy ý trên máy tính tồn tại lỗ hổng.

Lỗ hổng thứ hai trong Visual Studio Code có thể bị kích hoạt khi người dùng mở tệp 'package.json' độc hại. Kẻ tấn công có thể lừa nạn nhân sao chép một kho lưu trữ và mở nó bằng Visual Studio Code. Điều này sẽ giúp kẻ tấn công thực thi mã trên thiết bị của nạn nhân.

Theo Microsoft, “Khai thác thành công, kẻ tấn công có thể chạy mã tùy ý với vai trò là người dùng. Nếu người dùng là quản trị viên, kẻ tấn công có thể kiểm soát hệ thống bị ảnh hưởng, từ đó cài đặt các chương trình, xem, thay đổi hoặc xóa dữ liệu; hoặc tạo các tài khoản mới với đầy đủ quyền của người dùng.

Cả hai lỗ hổng đều có điểm CVSS là 7,8 và dường như chưa bị khai thác trên thực tế.

Người dùng đã bật cập nhật tự động trên máy tính sẽ nhận được các bản vá cho hai lỗ hổng mà không phải thực hiện bất kỳ thao tác nào.

Theo Securityweek​