نشرت شركة مايكروسوفت تحديثات أمان طارئة لمعالجة مشكلات الأمان في مكتبة (Windows Codecs) وتطبيق (Visual Studio Code).

ويأتي التحديثان في وقت متأخر بعد أن أصدرت الشركة مجموعتها الشهرية من التحديثات الأمنية في وقت سابق من هذا الأسبوع لتصحيح 87 ثغرة أمنية هذا الشهر.

وتمثل الثغرات الأمنية الجديدة عيوبًا في تنفيذ التعليمات البرمجية عن بُعد، مما يسمح للمهاجمين بتنفيذ التعليمات البرمجية عبر الأنظمة المتأثرة.

ويسمى الخطأ الأول (CVE-2020-17022)، وتقول مايكروسوفت: إن المهاجم يمكنه صناعة صور ضارة تسمح له – عند معالجتها بواسطة تطبيق يعمل ضمن ويندوز – بتنفيذ تعليمات برمجية عبر نظام التشغيل ويندوز غير المُصحح.

وينبع أحد عيوب الخطورة المهمة لخطأ (CVE-2020-17022) من الطريقة التي تتعامل بها مكتبة (Microsoft Windows Codecs Library) مع الكائنات الموجودة في الذاكرة.

وتتأثر جميع إصدارات ويندوز 10 بالخطأ، وأوضحت عملاقة البرمجيات أن تحديثًا لهذه المكتبة سيتم تثبيته تلقائيًا عبر أنظمة المستخدم من خلال متجر مايكروسوفت.

ولا يتأثر جميع المستخدمين، بل فقط أولئك الذين قاموا بتثبيت برنامج ترميز الوسائط الاختيارية (HEVC) من (Microsoft Store).

ولا يتوفر برنامج ترميز الوسائط الاختيارية (HEVC) للتوزيع في وضع عدم الاتصال، ولا يتوفر إلا عبر (Microsoft Store)، كما أنه غير مدعوم عبر (Windows Server).

ويمكن الانتقال إلى الإعدادات والتطبيقات والميزات للتحقق من كونك تستخدم برنامج ترميز (HEVC) ضعيف، وبحسب مايكروسوفت، فإن الإصدارات الآمنة هي (1.0.32762.0) و (1.0.32763.0) وما بعدها.

ويسمى الخطأ الثاني (CVE-2020-17023)، وتقول مايكروسوفت: إن المهاجمين يمكنهم صناعة ملفات (pack.json) ضارة يمكنها تنفيذ تعليمات برمجية ضارة عند تحميلها عبر (Visual Studio Code).

ويمكن تنفيذ التعليمات البرمجية للمهاجم بامتيازات المسؤول والسماح له بالتحكم الكامل في الجهاز المصاب اعتمادًا على أذونات المستخدم.

ويعالج تحديث مايكروسوفت الخطأ من خلال تعديل الطريقة التي يتعامل بها (Visual Studio Code) مع ملفات (JSON).

وتُستخدم ملفات (Package.json) بانتظام مع مكتبات ومشاريع جافا سكريبت (JavaScript).

وتعد جافا سكريبت (JavaScript)، وخاصة تقنية (Node.js) من جانب الخادم، من أكثر التقنيات شيوعًا اليوم.

ويُنصح مستخدمو (Visual Studio Code) – وهو برنامج تحرير التعليمات البرمجية المصدرية المجاني من مايكروسوفت العامل عبر أنظمة ويندوز وماك ولينكس – بتحديث التطبيق في أقرب وقت ممكن إلى أحدث إصدار.