Microsoft med sikkerhetsfikser til Visual Studio Code og valgfri kodek

Bare tre dager etter at Microsoft fjernet en rekke sårbarheter fra Windows 10 og flere andre produkter, kom Microsoft kommet med ytterligere to sikkerhetsoppdateringer. Årsaken er at ikke alle produktene til selskapet blir oppdatert via Windows Update, men i stedet oppdateres så snart det er behov.

Det ene produktet er en utvidelse til Windows Codecs Library, som gir operativsystemet støtte for videokodeken H.265/HEVC. Sårbarheten åpner for kjøring av vilkårlig kode. Den kan utnyttes ved å lokke en bruker til å spille av en spesielt utformet fil.

Utvidelsen er et valgfritt tillegg til Windows 10, men den kan være forhåndsinstallert av enkelte PC-leverandører. Det oppdateres via Microsoft Store. I utgangspunktet skal dette gjøres automatisk, men det kan være fornuftig å sjekke at dette faktisk blir gjort. Dette gjøre ved å gå inn i Microsoft Store på PC-en, klikke menyen (tre horisontale prikker) og deretter «Nedlastinger og oppdateringer». Da vises alle de installerte appene og en knapp med teksten «Få oppdateringer». Klikker man på knappen, blir alle tilgjengelige oppdateringer til de installerte appene installert.

Sårbar Visual Studio Code

Den andre sikkerhetsoppdateringen Microsoft kom i slutten av forrige uke, er til utviklerverktøyet Visual Studio Code. Den fjerner en sårbarhet som åpner for kjøring av vilkårlig kode i konteksten av brukerne. Er brukeren innlogget som administrator, kan angriperen få kontroll over hele systemet.

Sårbarheten er knyttet til verktøyets håndtering av JSON-filer og kan utnyttes å lokke en bruker til å åpne en ondsinnet «package.json»-fil.

Visual Studio Code er heller ikke noe som er installert på alle PC-er. Verktøyet vil i stor grad oppdateres seg selv i forbindelse med omstart, men det er mulig å sjekke om det er nye oppdateringer tilgjengelig, via et menyvalg i Help-menyen.

Visual Studio Code er tilgjengelig for både Windows, MacOS og Linux. Microsoft har ikke oppgitt om sårbarhetene berører alle de tre versjonene.