消费电子实验室 - 大中华区最具商业价值的消费电子专业网站 - The most valuable and professional Consumer electronics business website in Greater China › 消电电子实验室 ›新闻中心› 行业动态 › 查看内容

微软紧急修复2个0 day漏洞，影响数百万用户

2020-7-2 12:20| 发布者: cncelab| 查看: 1464| 评论: 0

摘要: 这两个漏洞的成功利用都要求攻击者诱使受害者在受影响的系统上点击有个精心伪造的图像文件，点击该图像文件的目的是打开使用内置Windows Codec Library的app。

【消费电子实验室-2020/7/2】6月30日，微软发布了2个软件更新来修复2个高风险的安全漏洞，漏洞影响数百万Windows 10和Sever用户。距离7月14日的微软补丁日不到2周时，微软为何提前发布安全漏洞补丁呢？由于漏洞位于Windows Codecs Library中，因此研究人员认为攻击者很容易就可以使用社会工程攻击方法来使受害者从互联网上下载和运行恶意媒体文件，因此漏洞被利用的可能性很高。这两个漏洞分别是CVE-2020-1425和CVE-2020-1457。

CVE-2020-1425和CVE-2020-1457漏洞分析

这两个漏洞都位于Windows Codecs Library中，Codecs是帮助Windows操作系统播放、压缩和解压不同的音视频文件扩展的支持库。漏洞属于远程代码执行漏洞，攻击者利用这两个漏洞可以执行任意代码和控制被黑的Windows计算机。

CVE-2020-1457漏洞定位为重要，攻击者利用该漏洞可以在受影响的Windows 系统上执行任意代码。相比之下，CVE-2020-1425漏洞更加严重。攻击者利用该漏洞可以在收集系统中的数据用于进一步攻击受影响的用户系统。这两个漏洞的成功利用都要求攻击者诱使受害者在受影响的系统上点击有个精心伪造的图像文件，点击该图像文件的目的是打开使用内置Windows Codec Library的app。

截止目前，尚未有安全研究人员报告这两个漏洞的在野利用。

受影响的系统

漏洞影响Windows 10和Windows server，具体受影响的版本包括：

Windows 10 v 1709

Windows 10 v 1803

Windows 10 v 1809

Windows 10 v 1903

Windows 10 v 1909

Windows 10 v 2004

Windows Server 2019

Windows Server v 1803

Windows Server v 1903