مايكروسوفت تصدر تحديثات أمان طارئة لنظام ويندوز

نشرت شركة مايكروسوفت تحديثات أمان طارئة لمعالجة مشكلات الأمان في مكتبة (Windows Codecs) وتطبيق (Visual Studio Code).

ويأتي التحديثان في وقت متأخر بعد أن أصدرت الشركة مجموعتها الشهرية من التحديثات الأمنية في وقت سابق من هذا الأسبوع لتصحيح 87 ثغرة أمنية هذا الشهر.

وتمثل الثغرات الأمنية الجديدة عيوبًا في تنفيذ التعليمات البرمجية عن بعد، مما يسمح للمهاجمين بتنفيذ التعليمات البرمجية عبر الأنظمة المتأثرة.

ويسمى الخطأ الأول (CVE-2020-17022)، وتقول مايكروسوفت: إن المهاجم يمكنه صناعة صور ضارة تسمح له – عند معالجتها بواسطة تطبيق يعمل ضمن ويندوز – بتنفيذ تعليمات برمجية عبر نظام التشغيل ويندوز غير المُصحح.

وينبع أحد عيوب الخطورة المهمة لخطأ (CVE-2020-17022) من الطريقة التي تتعامل بها مكتبة (Microsoft Windows Codecs Library) مع الكائنات الموجودة في الذاكرة.

وتتأثر جميع إصدارات ويندوز 10 بالخطأ، وأوضحت عملاقة البرمجيات أن تحديثًا لهذه المكتبة سيتم تثبيته تلقائيًا عبر أنظمة المستخدم من خلال متجر مايكروسوفت.

ولا يتأثر جميع المستخدمين، بل فقط أولئك الذين قاموا بتثبيت برنامج ترميز الوسائط الاختيارية (HEVC) من (Microsoft Store).

ولا يتوفر برنامج ترميز الوسائط الاختيارية (HEVC) للتوزيع في وضع عدم الاتصال، ولا يتوفر إلا عبر (Microsoft Store)، كما أنه غير مدعوم عبر (Windows Server).

للتحقق ومعرفة ما إذا كنت تستخدم برنامج ترميز HEVC ضعيف ، يمكن للمستخدمين الانتقال إلى الإعدادات والتطبيقات والميزات وتحديد HEVC ، خيارات متقدمة. الإصدارات الآمنة هي 1.0.32762.0 و 1.0.32763.0 وما بعده.

ويسمى الخطأ الثاني (CVE-2020-17023)، وتقول مايكروسوفت: إن المهاجمين يمكنهم صناعة ملفات (pack.json) ضار يمكنه تنفيذ تعليمات برمجية ضارة عند تحميله عبر (Visual Studio Code).

ويمكن تنفيذ التعليمات البرمجية للمهاجم بامتيازات المسؤول والسماح له بالتحكم الكامل في الجهاز المصاب اعتمادًا على أذونات المستخدم.

ويعالج تحديث مايكروسوفت الخطأ من خلال تعديل الطريقة التي يتعامل بها (Visual Studio Code) مع ملفات (JSON).

وتُستخدم ملفات (Package.json) بانتظام مع مكتبات ومشاريع جافا سكريبت (JavaScript).

وتعد جافا سكريبت (JavaScript)، وخاصة تقنية (Node.js) من جانب الخادم، من التقنيات الأكثر شيوعًا اليوم.

ويُنصح مستخدمي (Visual Studio Code) – وهو برنامج تحرير التعليمات البرمجية المصدرية المجاني من مايكروسوفت العامل عبر أنظمة ويندوز وماك ولينكس – بتحديث التطبيق في أقرب وقت ممكن إلى أحدث إصدار.