به‌روزرسانی‌ دو باگ اجرای کد از راه دور توسط مایکروسافت

مایکروسافت به روزرسانی های جدیدی را در راستای اصلاح دو باگ‌ RCE (اجرای از راه دور کد) منتشر کرده است که این باگ ها، کدهای کتابخانه Codec و ویژوال استودیو را تحت تاثیر قرار می‌دهند. ‫آسیب‌پذیری های ذکرشده با شناسه های CVE-2020-17022 و CVE-2020-17023دارای درجه اهمیت بحرانی هستند و گزارشی از اکسپلبوت گسترده آن ها موجود نیست.
آسیب‌پذیری کتابخانه Codec ویندوز (آسیب پذیری با شناسه CVE-2020-17022)، همه دیوایس‌های در حال اجرای ویندوز 10 نسخه‌های 1709 یا پیشتر و نسخه‌های قدیمی‌تر کتابخانه Code را تحت تاثیر قرار می‌دهد.
بنا به بیانیه مایکروسافت، دستگاه ‌های ویندوز 10 در حالت پیش فرض آسیب‌پذیر نیستند. تنها کاربرانی که HEVC یا 'HEVC from Device Manufacturer' را از Microsoft Store نصب می کنند، ممکن است آسیب‌پذیر باشند.
برای بررسی به روز بودن HEVC می‌توانید از مسیر زیر پیش بروید؛ ابتدا به بخش Setting رفته و سپس بخش Apps & Features و HEVC را انتخاب نمایید و با کلیک Advanced Options می‌توانید از نسخه برنامه آگاه شوید. نسخه‌های ایمن عبارتند از: 1.0.32762.0، 1.0.32763.0 و نسخه های به روزتر.
مایکروسافت در ماه ژوئن دو مورد مشابه از این باگ ها را به روز رسانی کرده است که منجر به گمراهی کاربران در دریافت به‌روزرسانی‌ها می‌شد. (بدین صورت که بجای روش معمول به روزرسانی، این به روزرسانی ها از طریق فروشگاه مایکروسافت انجام می‌شد).
آسیب‌پذیری RCE مربوط به JSON ویژوال استودیو (آسیب پذیری با شناسه CVE-2020-17023) زمانی فعال می‌شود که کاربر فایل 'package.json' جعلی را باز می کند و این فایل مخرب منجر به اجرای کدهای از راه دور توسط مهاجم می‌شود. اگر در چنین شرایطی کاربر حق دسترسی ادمین داشته باشد، اکسپولیت این آسیب‌پذیری منجر به ایجاد یک کاربر مهاجم با دسترسی ادمین در ویندوز 10 آسیب پذیر می شود.
در واقع CVE-2020-17023 به روزرسانی امنیتی منتشرشده برای آسیب‌پذیری CVE-2020-16881(یک باگ RCE که مایکروسافت در هشتم سپتامبر سعی داشت، آن را اصلاح کند.) را دور می‌زند.
کاربران تحت تاثیر این آسیب پذیری ها لازم نیست که هیچ گونه اقدامی برای رفع این آسیب‌پذیری‌ها انجام دهند. به روزرسانی این محصولات به صورت خودکار از فروشگاه مایکروسافت دریافت می‌شوند، مگر اینکه به‌روزرسانی خودکار در ویندوز غیر فعال باشد که در این صورت کاربران می‌توانند به‌صورت دستی به روزرسانی ها را از فروشگاه مایکروسافت دریافت نمایند.
منبع:

https://threatpost.com/microsoft-rce-flaws-windows-update/160244/