24 марта Microsoft оперативно устранила уязвимость CVE-2023-28303 в приложении “Ножницы” для Windows 10/11. Организация оценила ошибку по шкале CVSS на 3.3 балла, тогда как эксперты считают, что это представляет серьезную проблему конфиденциальности данных. Если пользователь делится изображением, например, кредитной картой с отредактированным номером, или отправляет обрезанное изображение, то получатель такого файла PNG может частично восстановить исходную версию скриншота.
Microsoft пояснила, что в версии 10.2008.3001.0 и новее приложения “Ножницы” в Windows 10 уязвимость была устранена, а для пользователей Windows 11 необходимо обновиться до версии 11.2302.20.0 в App Store. Организация выразила благодарность Саймону Ааронсу, Дэвиду Бьюкенену и Крису Блюму, которые первыми выявили эту проблему и сообщили в компанию об уязвимости.
Ранее, 23 марта, Microsoft сообщила о баге в тестовой версии приложения “Ножницы”, когда инструмент для скриншотов в Windows 10/11 не удалял до конца старые данные из файла при обрезке и сохранении. Представитель Microsoft заявил, что компания проводит расследование по этому инциденту и примет меры, если это необходимо.
21 марта эксперты обнаружили, что инструмент “Ножницы” в Windows 11 не удаляет старые данные из файла при обрезке изображения из скриншота и сохранении в формате PNG. Если пользователь пытается перезаписать другой файл PNG без редактирования, то размер файла увеличивается, так как туда добавляется информация после фрагмента PNG IEND. Этот баг позволяет другим пользователям частично восстановить контент оригинального изображения, который был отредактирован с помощью “Ножниц”. В стандартных редакторах и штатных инструментах спецификация PNG обычно соблюдается правильно, и файл заканчивается IEND и не содержит данных после этого фрагмента.
При обрезке и пересохранении файла в инструменте «Ножницы» в Windows 11, некоторые файлы PNG могут содержать лишние данные после первого IEND. Как результат, просмотрщики изображений могут отображать только обрезанное изображение, игнорируя оставшиеся данные. Однако, эксперты смогли восстановить картинку из этих оставшихся данных с помощью скрипта на Python.
Ранее, в штатном редакторе изображений Markup на смартфонах Google Pixel (модели от 3 до 7 версии) была обнаружена уязвимость (CVE-2023-21036) при обработке файлов PNG, которая получила название aCropalypse. Эта уязвимость позволяла получить доступ к оригинальному файлу после выполнения команды Crop или ретуширования и сохранения изменений. Google выпустила патч для исправления этой проблемы, однако, он не решает проблему с ранее сохраненными файлами. Уязвимость была отмечена высоким уровнем опасности.