Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-58599 là lỗ hổng Heap-based Buffer Overflow ảnh hưởng tới HEVC Video Extensions (phiên bản bị ảnh hưởng: 1.0.0 – < 2.4.87.0), HEVC Video Extensions for Licensed Applications (phiên bản bị ảnh hưởng: 2.0.0.0 – < 2.4.85.0) và HEVC Video Extensions from Device Manufacturer (phiên bản bị ảnh hưởng: 2.0.0.0 – < 2.4.86.0). Lỗ hổng này được xếp hạng ở mức Cao, với điểm CVSS 7.8. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
Lỗi tràn bộ đệm dựa trên heap trong Microsoft Windows Codecs Library cho phép kẻ tấn công trái phép thực thi mã cục bộ.
1.0.0 đến trước 2.4.87.0 bị ảnh hưởng. Microsoft cung cấp bản sửa tại 2.4.87.0.2.0.0.0 đến trước 2.4.85.0 bị ảnh hưởng. Microsoft cung cấp bản sửa tại 2.4.85.0.2.0.0.0 đến trước 2.4.86.0 là bị ảnh hưởng. CSAF của Microsoft còn tách sản phẩm này thành nhiều nhánh, trong đó một số nhánh bị ảnh hưởng trước 2.5.25.0 và có bản sửa tại 2.4.86.0, còn các nhánh khác có bản sửa tại 2.5.25.0. Vì vậy cần xác định đúng package hoặc channel của Device Manufacturer trước khi kết luận phiên bản đã an toàn.Microsoft Windows Codecs Library chứa lỗi tràn bộ đệm trên heap, được phân loại là CWE-122, trong các gói HEVC Video Extensions bị ảnh hưởng. Bản ghi hiện có không xác định routine xử lý, buffer cụ thể, định dạng tệp hoặc trường dữ liệu do kẻ tấn công kiểm soát. Khai thác yêu cầu khả năng tiếp cận cục bộ và tương tác của người dùng, có độ phức tạp thấp và không yêu cầu đặc quyền trước đó. Bản ghi xác nhận khả năng thực thi mã cục bộ nhưng không cho biết process cụ thể, mức đặc quyền sau khai thác hoặc ranh giới bảo mật chính xác. Phạm vi được xác nhận chỉ gồm các nhánh gói HEVC được liệt kê; trạng thái của các sản phẩm codec khác không được xác lập.
Đây là vấn đề có khả năng tiếp cận cục bộ, không phải lỗ hổng được mô tả là có thể khai thác trực tiếp qua mạng. Khai thác có độ phức tạp thấp, không yêu cầu đặc quyền, nhưng cần tương tác của người dùng. Bản ghi cung cấp cho biết không có public exploit được xác định. Trạng thái khai thác thực tế không được xác lập vì trường known_exploited không có giá trị xác nhận; điều này không đồng nghĩa với bằng chứng rằng lỗ hổng chưa từng bị khai thác. Không có exploit step, payload hoặc indicator cụ thể nào được công bố trong bằng chứng hiện có.
Lỗi có thể dẫn đến thực thi mã do kẻ tấn công kiểm soát trong phạm vi cục bộ của hệ thống bị ảnh hưởng. Các thuộc tính tác động được cung cấp cho thấy khả năng ảnh hưởng đến tính bảo mật, toàn vẹn và khả dụng, nhưng bản ghi không xác định process hoặc token mà mã sẽ sử dụng. Không có bằng chứng cho thấy lỗi tự nó tạo ra khả năng khai thác qua mạng, lan truyền giữa hệ thống hoặc vượt qua ranh giới scope. Tương tác của người dùng vẫn là điều kiện cần, trong khi đặc quyền trước đó không được yêu cầu. Hậu quả tổ chức có thể gồm mất kiểm soát endpoint, thay đổi dữ liệu hoặc gián đoạn dịch vụ cục bộ nếu khai thác thành công.
2.4.87.0.2.4.85.0.2.4.86.0 cho các nhánh được Microsoft ánh xạ tới bản sửa này hoặc 2.5.25.0 cho các nhánh được ánh xạ tới bản sửa đó. Không nên dùng một ngưỡng duy nhất cho toàn bộ các channel Device Manufacturer.HEVC Video Extensions, HEVC Video Extensions for Licensed Applications và HEVC Video Extensions from Device Manufacturer trên các endpoint Windows.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
