微软已发布补丁修复两个流行开源库中的零日漏洞

微软已发布补丁来修复两个流行开源库中的零日漏洞，这些漏洞影响了多种产品，包括 Skype、Teams 及其 Edge 浏览器。 但微软不愿透露这些零日漏洞是否被利用来攻击其产品，或者该公司是否知道其中任何一种情况。

Google和公民实验室的研究人员表示，这两个漏洞（由于开发人员没有提前通知修复这些错误而被称为零日漏洞）是上个月发现的，并且这两个漏洞已被积极利用来针对带有间谍软件的个人。

这些错误是在两个常见的开源库 webp 和 libvpx 中发现的，它们被广泛集成到浏览器、应用程序和手机中以处理图像和视频。 这些库无处不在，再加上安全研究人员警告称这些漏洞被滥用来植入间谍软件，促使科技公司、手机制造商和应用程序开发人员纷纷更新其产品中存在漏洞的库。

微软在周一的一份简短声明中表示，它已经推出了修复程序，解决了 webp 和 libvpx 库中的两个漏洞，并将其集成到其产品中，并承认这两个漏洞都存在漏洞。当联系到微软置评时，微软发言人拒绝透露其产品是否已在外部被利用，或者该公司是否有能力了解情况。

Citizen Lab 的安全研究人员在 9 月初表示，他们发现了证据，表明 NSO Group 的客户使用该公司的 PegASUS 间谍软件，利用了最新且已完全修补的 iPhone 软件中发现的漏洞。

据 Citizen Lab 称，苹果公司在其产品中集成的易受攻击的 webp 库中的漏洞无需设备所有者的任何交互即可被利用，即所谓的零点击攻击。 苹果推出了针对 iPhone、iPad、Mac 和手表的安全修复程序，并承认该漏洞可能已被未知黑客利用。

依赖 Chrome 和其他产品中的 webp 库的Google也于 9 月初开始修补该错误，以保护其用户免受Google表示知道“存在于外部”的漏洞的影响。 开罚Firefox 浏览器和 Thunderbird 电子邮件客户端的 Mozilla 也在其应用程序中修补了该错误，并指出 Mozilla 知道该错误已在其他产品中被利用。

本月晚些时候，Google安全研究人员表示，他们发现了另一个漏洞，这次是在 libvpx 库中，Google称该漏洞已被商业间谍软件供应商滥用，但Google拒绝透露该供应商的名称。 Google很快就推出了更新，以修复集成到 Chrome 中的易受攻击的 libvpx 错误。

苹果周三发布了一个安全更新，修复了 iPhone 和 iPad 中的 libvpx 错误，以及苹果表示的另一个内核漏洞，该漏洞利用了运行 iOS 16.6 之前版本软件的设备。

事实证明，libvpx 中的零日漏洞也影响了微软产品，但目前尚不清楚黑客是否能够利用它来攻击该公司产品的用户。

文章来源：cnBeta   责任编辑：ugmbbc