Microsoft ha rilasciato due aggiornamenti di sicurezza fuori banda per correggere due vulnerabilità ad alto rischio relative all’esecuzione di codice in modalità remota nella libreria dei codec di Microsoft Windows. I bug rilevati come CVE-2020-1425 e CVE-2020-1457, colpiscono milioni di utenti dei sistemi operativi Windows 10 e Window Server 2019.
Un utente malintenzionato che ha sfruttato con successo queste vulnerabilità potrebbe ottenere informazioni per compromettere ulteriormente il sistema dell’utente. Lo sfruttamento delle vulnerabilità richiede che un programma elabori un file di immagine appositamente predisposto, si legge nella comunicazione relativa al rilascio delle patch.
Entrambe le vulnerabilità sfruttano il modo in cui la Libreria di codec di Windows gestisce gli oggetti in memoria. CVE-2020-1425, se sfruttato, consentirebbe a un utente malintenzionato di eseguire codice arbitrario, mentre CVE-2020-1457 può essere sfruttato per ottenere informazioni che comprometterebbero ulteriormente il sistema dell’utente.
Entrambe possono essere sfruttate inducendo ad aprire un file di immagine appositamente predisposto, quindi se gli utenti aprono file multimediali danneggiati all’interno di applicazioni che utilizzano la libreria codec Windows. All’apertura delle immagini non valide, potrebbero consentire l’esecuzione di codice in remoto su un sistema Windows e potenzialmente assumere il dispositivo.
Microsoft ha implementato gli aggiornamenti di sicurezza fuori banda tramite l’app di Windows Store tramite un aggiornamento alla Libreria di codec di Windows.
I clienti non devono intraprendere alcuna azione per ricevere l’aggiornamento, ha dichiarato Microsoft.
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-1425
