Уязвимость в OpenJPEG эксплуатируется при помощи вредоносных изображений

Уязвимость в OpenJPEG эксплуатируется при помощи вредоносных изображений

Уязвимость в OpenJPEG эксплуатируется при помощи вредоносных изображений

Выпущенное на прошлой неделе обновление библиотеки OpenJPEG устраняет несколько уязвимостей. Среди них есть брешь, позволяющая выполнить произвольный код, используя специально созданные файлы-изображения.

OpenJPEG - библиотека с открытым исходным кодом, предназначенная для кодирования и декодирования изображений формата JPEG2000, который часто используется для встраивания изображений в PDF-документы. OpenJPEG используется популярными программами для просмотра PDF, например, встроенная в Google Chrome PDFium использует эту библиотеку.

Исследователи Cisco обнаружили, что уязвимость можно проэксплуатировать, если удастся заставить пользователя открыть специально созданное JPEG2000-изображение или PDF-документ, содержащий такое изображение.

В случае атаки, описанной экспертами, злоумышленник прикрепляет вредоносный файл к электронному письму или загружает на сервисы вроде Dropbox или Google Drive и затем дает пользователю ссылку на него.

Об этой уязвимости (CVE-2016-8332) разработчикам OpenJPEG было сообщено в конце июля. На прошлой неделе, с выходом версии 2.1.2, брешь была исправлена.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

KB5063060: экстренное обновление Windows 11 для геймеров с BSOD

На днях Microsoft выпустила экстренное обновление Windows 11 — всё из-за массовых жалоб на синие экраны смерти (BSOD) у игроков. Проблема затронула тех, у кого на компьютере установлен сервис Easy Anti-Cheat, который используется во множестве онлайн-игр — от Fortnite до ELDEN RING и Rust.

После июньского обновления KB5060842 у многих начали перезагружаться компьютеры с ошибками IRQL_NOT_LESS_OR_EQUAL, связанными со сбоями ntoskrnl.exe или EasyAntiCheat_EOS.exe. Чаще всего это происходило при запуске игр.

Чтобы исправить ситуацию, Microsoft оперативно выпустила внеплановое обновление KB5063060. Оно устраняет проблему несовместимости с Easy Anti-Cheat и устанавливается автоматически через Windows Update — но только на устройствах, где обнаружен этот сервис или не установлено проблемное обновление.

Если вдруг обновление KB5063060 не приходит — его можно поставить вручную, скачав с Microsoft Update Catalog (поддерживаются системы на x64 и ARM64).

Easy Anti-Cheat используется в сотнях популярных многопользовательских игр. Если он конфликтует с системой, это означает, что люди попросту не могут играть: игра «падает», система уходит в перезагрузку, а всё это сопровождается BSOD.

Особенно пострадали владельцы компьютеров с процессорами Intel Alder Lake+ и vPro — именно на них в октябре Microsoft уже вводила блокировку обновления 24H2 из-за аналогичных ошибок.

В тот же день Microsoft выпустила крупный патч (KB5060842 и KB5060999), закрыв 66 уязвимостей, в том числе:

  • CVE-2025-33073 — уязвимость в SMB, позволяющая повысить привилегии;
  • CVE-2025-33053 — активно эксплуатируемая 0-day в WebDAV.

10 уязвимостей были критическими: 8 из них позволяли выполнить код удалённо, 2 — повысить привилегии. Так что, если ещё не обновлялись — самое время это сделать (только аккуратно, чтобы не получить BSOD).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru