Il problema di sicurezza critico dei codec di Windows interessa Windows 10 e Server
- Categoria: Finestre
Microsoft ha pubblicato dettagli su due problemi di sicurezza scoperti di recente in Windows Codec che interessano le versioni client e server di Windows 10. I problemi sono stati rilevati nella libreria dei codec di Microsoft Windows, più precisamente nel modo in cui la libreria 'gestisce gli oggetti in memoria'.
Microsoft conferma i problemi di sicurezza e definisce le vulnerabilità come una vulnerabilità legata all'esecuzione di codice in modalità remota con una gravità di critico e importante.
Sono interessate tutte le versioni client di Windows 10 da Windows 10 versione 1709 in poi, comprese le versioni a 32 bit, 64 bit e ARM, e diverse versioni di Windows Server, tra cui Windows Server 2019 e Windows Server versione 2004 Core.
Aggiornare : Microsoft ha aggiornato le descrizioni delle vulnerabilità e ha aggiunto loro le informazioni essenziali. L'azienda osserva che le configurazioni predefinite di Windows 10 non sono interessate, ma solo quelle su cui sono installati i codec HEVC opzionali. Fine
I problemi non vengono sfruttati in natura; un utente malintenzionato potrebbe creare un file immagine appositamente predisposto e aprirlo su un sistema di destinazione per sfruttare la vulnerabilità.
Soluzioni alternative e mitigazioni non sono disponibili, ma Microsoft ha creato un aggiornamento che deve essere installato sui dispositivi Windows 10 e Windows 10 Server per correggere il problema e proteggere i sistemi da potenziali exploit.
L'aggiornamento viene inviato ai dispositivi tramite un aggiornamento di Microsoft Store. Microsoft rileva che gli aggiornamenti verranno automaticamente trasferiti sui dispositivi e che i clienti non devono intraprendere alcuna azione al riguardo.
Gli amministratori che non desiderano attendere l'arrivo dell'aggiornamento sui sistemi possono aprire manualmente l'applicazione Microsoft Store, selezionare Menu> Download e aggiornamenti e lì il pulsante 'Ottieni aggiornamenti' per eseguire un controllo manuale degli aggiornamenti.
Di seguito sono riportati i collegamenti alle due vulnerabilità sul portale MSRC di Microsoft:
- CVE-2020-1425 | Vulnerabilità legata all'esecuzione di codice in modalità remota nella libreria dei codec di Microsoft Windows
- CVE-2020-1457 | Vulnerabilità legata all'esecuzione di codice in modalità remota nella libreria dei codec di Microsoft Windows
La mancanza di informazioni è un problema
Microsoft non rivela il nome dell'aggiornamento creato per risolvere il problema di sicurezza. Un rapido controllo su un dispositivo Windows 10 versione 2004 Surface Go aggiornato ha restituito aggiornamenti per le app HEIF Image Extensions ed HEVC Video Extensions dal produttore del dispositivo. Non è chiaro se si tratta degli aggiornamenti a cui si riferisce Microsoft o se la società non ha ancora rilasciato l'aggiornamento per la protezione alla popolazione generale.
Terrò d'occhio gli aggiornamenti e aggiornerò l'articolo se un aggiornamento relativo alla libreria dei codec di Windows diventa disponibile.
Microsoft deve fornire ulteriori informazioni. Non è chiaro come gli amministratori possano verificare se gli aggiornamenti sono installati sui dispositivi a causa della mancanza di informazioni. Informazioni sulla natura della vulnerabilità, ad es. anche quali formati di immagine sono interessati, sarebbe utile.
Infine, un aggiornamento dello Store esclude i sistemi dalla ricezione dell'aggiornamento se l'applicazione Store è stata disinstallata o neutralizzata.
Ora tu : Qual è la tua opinione su questo? (attraverso Bleeping Computer )