Microsoft corrige fallas de RCE en Windows Update fuera de banda - Calendae | Informática, Electrónica, CMS, Ciberseguridad

Microsoft corrige fallas de RCE en Windows Update fuera de banda

Hola y mil gracias por leerme. Yo soy Eduardo Arroyo y hoy te voy a hablar sobre Microsoft corrige fallas de RCE en Windows Update fuera de banda

Microsoft corrige fallas de RCE en Windows Update fuera de banda

Los dos principales defectos graves en la biblioteca de códecs de Microsoft Windows y Visual Studio Code podrían permitir la ejecución remota de código.

Microsoft ha publicado parches fuera de banda para dos vulnerabilidades de gravedad «principales», que si se explotan podrían permitir la ejecución remota de código.

Existe una falla (CVE-2020-17023) en Visual Studio Code de Microsoft, un editor de código fuente gratuito creado por Microsoft para Windows, Linux y macOS. El otro (CVE-2020-17022) está en la biblioteca de códecs de Microsoft Windows; el módulo de códecs proporciona interfaces de flujo y archivo para transcodificar datos en programas de Windows.

«Microsoft ha publicado actualizaciones de seguridad para abordar las vulnerabilidades de ejecución remota de código que afectan a la biblioteca de códecs de Windows y al código de Visual Studio», según un aviso de CISA el viernes en parches. «Un atacante podría aprovechar estas vulnerabilidades para tomar el control de un sistema afectado».

Según Microsoft, un «importante» (CVE-2020-17022) proviene de la forma en que la biblioteca de códecs de Microsoft Windows maneja los objetos en la memoria. Esta vulnerabilidad tiene una puntuación CVSS de 7,8 sobre 10.

Un atacante que aproveche con éxito la vulnerabilidad podría ejecutar código arbitrario, según Microsoft. Aunque un atacante puede estar a distancia para lanzar el ataque, la explotación requiere un programa para procesar un archivo de imagen especialmente diseñado.

Solo los clientes que han instalado los códecs multimedia HEVC opcionales o «HEVC del fabricante del dispositivo» de Microsoft Store pueden ser vulnerables. Las versiones compactas seguras instaladas por Microsoft son 1.0.32762.0, 1.0.32763.0 y posteriores.

«La actualización corrige la vulnerabilidad al corregir la forma en que la biblioteca de códecs de Microsoft Windows maneja los objetos en la memoria», según Microsoft.

El otro defecto de gravedad «mayor» (que también tiene una puntuación CVSS de 7,8 sobre 10) existe en Visual Studio Code, cuando se engaña a un usuario para que abra un archivo «package.json» malicioso.

Según Microsoft, un atacante que aprovechó con éxito esta falla (CVE-2020-17023) podría ejecutar código arbitrario en el contexto del usuario actual. Un atacante primero tendría que convencer a un objetivo de que clone un repositorio y lo abra en Visual Studio Code (mediante ingeniería social o de otro modo). El código malicioso del atacante se ejecuta cuando el objetivo abre el archivo malicioso «package.json».

«Si el usuario actual está conectado con derechos de usuario administrativo, un atacante podría tomar el control del sistema afectado», dijo Microsoft. “Un atacante podría instalar programas; ver, modificar o eliminar datos; o crear nuevas cuentas con todos los derechos de usuario «.

La actualización de Microsoft corrige la vulnerabilidad al modificar la forma en que Visual Studio Code maneja los archivos JSON.

En un hilo de Twitter, Justin Steven, quien informó la falla, dijo que el problema se debe a la omisión de un parche distribuido previamente para una falla de RCE en Visual Studio Code (CVE-2020-16881).

Microsoft Visual Studio Code parece haber estropeado la solución para CVE-2020-16881, una vulnerabilidad de «ejecución remota de código» relacionada con «archivos package.json maliciosos». El parche se puede omitir trivialmente. Un hilo ?

– GNU / JUSTIN (@justinsteven) 2 de octubre de 2020

Según Microsoft, ninguno de los dos defectos se explotó de la misma forma. Microsoft tampoco ha ofrecido mitigaciones o soluciones para otros defectos, pero las actualizaciones se instalarán automáticamente para los usuarios.

«Microsoft Store actualizará automáticamente a los clientes afectados», según Microsoft. «Los clientes no necesitan realizar ninguna acción para recibir la actualización».

Las correcciones se producen pocos días después de las actualizaciones del martes del parche de octubre de Microsoft, durante las cuales lanzó correcciones para 87 vulnerabilidades de seguridad, 11 de las cuales eran críticas y una potencialmente problemática.

En el caso de estos errores, «el mantenimiento de los componentes de la aplicación / tienda no sigue al ‘martes de actualización’ mensual, pero se ofrece siempre que sea necesario», según Microsoft.

.

No te olvides compartir en tus redes sociales para que tus colegas opinen

??? ? ? ???

Comparte