Publicado 20/10/2020 12:22

Portaltic.-Una imagen maliciosa puede explotar una vulnerabilidad en la biblioteca de códecs de Windows al editar vídeo de iPhone

Una imagen maliciosa puede explotar una vulnerabilidad en la biblioteca de códec
Una imagen maliciosa puede explotar una vulnerabilidad en la biblioteca de códec - CASPAR CAMILLE RUBIN / UNSPLASH

   MADRID, 20 Oct. (Portaltic/EP) -

   Microsoft ha descubierto y parcheado una vulnerabilidad en la biblioteca de códecs de Windows que puede explotarse a través del uso de una imagen maliciosa, con la que los cibercriminales pueden ejecutar código de forma remota, y que afecta especialmente a los usuarios de móviles iPhone.

   La Agencia de Ciberseguridad e Infraestructura de Seguridad de Estados Unidos (CISA) ha asegurado que Microsoft lanzó la pasada semana una actualización de seguridad para solucionar dos errores (CVE-2020-17022 y CVE-2020-17023) que afectan a la librería de códecs de Windows y al editor Visual Studio Code, y ha instado a los usuarios de Windows y administradores a aplicar los parches.

   El fallo de seguridad reside en la forma en que la biblioteca de códecs de Windows gestiona los objetos en la memoria. Este problema abre la puerta a que los potenciales atacantes puedan ejecutar código de forma remota, como ha reconocido Microsoft.

   Para explotar la vulnerabilidad, los cibercriminales tienen que conseguir que un programa multimedia procese un "archivo de imagen especialmente creado", como ha descrito Microsoft. Esto sería suficiente para "tomar el control del sistema afectado", según CISA.

   El fallo de seguridad tiene un impacto especialmente grave en los usuarios de móviles iPhone y ordenadores Windows afectados por la vulnerabilidad que se emplean para editar vídeos del móvil desde el PC, entre otras funciones, ya que todos los dispositivos con iOS 11 en adelante utilizan los códecs de vídeo HEVC, como informa PCWorld.

Por otra parte, Microsoft también ha solucionado un problema con el editor Visual Studio Code en relación a archivos JSON con formato incorrecto.