Microsoft | Windows Codecs & Visual Studio JSON远程代码执行误差通告
宣布时间 2020-10-190x00 误差概述
产品名称 | CVE ID | 类 型 | 误差品级 | 远程使用 | 影响规模 |
Windows Codecs | CVE-2020-17022 | RCE | 高危 | 是 | |
Visual Studio Code | CVE-2020-17023 | RCE | 高危 | 是 |
微软于2020年10月15日宣布了两个带外清静更新，，，，以修复Microsoft Windows Codecs和Visual Studio Code中的两个远程代码执行（RCE）误差。。。。误差跟踪为CVE-2020-17022和CVE-2020-17023，，，，其CVSS评分均为7.8。。。。
0x01 误差详情
Microsoft Windows Codecs远程代码执行误差（CVE-2020-17022）
Microsoft Windows Codecs是Microsoft的编解码器库，，，，其中的编解码器�？？？？？樘峁┝擞糜诙訵indows程序中的数据举行代码转换的流和文件接口。。。。该误差是由于Microsoft Windows Codecs库在处置惩罚内存工具的方法中保存一个远程代码执行误差。。。。攻击者可以使用恶意结构的的图像文件来使用此误差。。。。乐成使用此误差的攻击者可以在目的系统上执行恣意代码。。。。
影响规模：
Windows 10 Version 1709 for 32-bit Systems
Windows 10 Version 1709 for ARM64-based Systems
Windows 10 Version 1709 for x64-based Systems
Windows 10 Version 1803 for 32-bit Systems
Windows 10 Version 1803 for ARM64-based Systems
Windows 10 Version 1803 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1903 for 32-bit Systems
Windows 10 Version 1903 for ARM64-based Systems
Windows 10 Version 1903 for x64-based Systems
Windows 10 Version 1909 for ARM64-based Systems
Windows 10 Version 1909 for x64-based Systems
Windows 10 Version 2004 for 32-bit Systems
Windows 10 Version 2004 for ARM64-based Systems
Windows 10 Version 2004 for x64-based Systems
Visual Studio JSON远程代码执行误差（CVE-2020-17023）
Microsoft的Visual Studio Code是Microsoft针对Windows、Linux和macOS开发的一种免费的源代码编辑器。。。。
攻击者可以通过诱使用户翻开恶意的“ package.json”文件来使用此误差。。。。乐成使用此误差的攻击者可以在目今用户的上下文中运行恣意代码。。。。
若是目今用户使用治理用户权限登录，，，，则攻击者可以控制整个系统，，，，例如装置程序、审查、更改或删除数据、建设具有完全用户权限的新帐户等。。。。
现在，，，，Microsoft的更新是通过修改Visual Studio Code处置惩罚JSON文件的方法来解决了此误差。。。。
影响规模：
Visual Studio Code 1.50.1之前的版本。。。。
0x02 处置惩罚建议
现在Microsoft已宣布清静更新，，，，建议实时装置相关补丁。。。。
（一） Windows update更新
自动更新：
Microsoft Update默认启用，，，，当系统检测到可用更新时，，，，将会自动下载更新并在下一次启动时装置。。。。
手动更新：
1、点击“最先菜单”或按Windows快捷键，，，，点击进入“设置”
2、选择“更新和清静”，，，，进入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，，，，详细办法为“控制面板”->“系统和清静”->“Windows更新”）
3、选择“检查更新”，，，，期待系统将自动检查并下载可用更新。。。。
4、重启盘算机，，，，装置更新系统重新启动后，，，，可通过进入“Windows更新”->“审查更新历史纪录”审查是否乐成装置了更新。。。。关于没有乐成装置的更新，，，，可以点击该更新名称进入微软官方更新形貌链接，，，，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，，，，然后在新链接中选择适用于目的系统的补丁举行下载并装置。。。。
（二） 手动装置更新
微软官方下载响应补丁举行更新。。。。
CVE-2020-17022链接地点：
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17022
CVE-2020-17023链接地点：
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17023
0x03 参考链接
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17022
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17023
https://securityaffairs.co/wordpress/109665/security/microsoft-windows-rce.html?
https://threatpost.com/microsoft-rce-flaws-windows-update/160244/
0x04 时间线
2020-10-15 Microsoft宣布清静更新
2020-10-19 VSRC宣布清静通告
0x05 附录
CVSS评分标准官网：http://www.first.org/cvss/
京公网安备11010802024551号