ทีมผู้เชี่ยวชาญด้านความปลอดภัยของข้อมูล Project Zero จาก Google ได้เผยแพร่รายละเอียดทางเทคนิคและช่องโหว่ (โค้ด PoC) สำหรับการใช้ประโยชน์จากจุดบกพร่องที่สำคัญของการเรียกใช้โค้ดจากระยะไกลในองค์ประกอบกราฟิกของ Windows 10
นักวิจัยค้นพบช่องโหว่ (CVE-2021-24093 ) ใน DirectWrite – Application Programming Interface (API) ของ Microsoft สำหรับการจัดรูปแบบข้อความบนหน้าจอและแสดงผลร่ายมนตร์แต่ละรายการ – Microsoftปัญหานี้ส่งผลกระทบต่อ Windows 10 และ Windows Server หลายรุ่นที่มีอายุมากกว่า 20H2
หลังจากกำหนดเส้นตายการเปิดเผย 90 วัน Project Zero ได้เผยแพร่โค้ดทดสอบ PoC เพื่อใช้ช่องโหว่ในการสร้างปัญหาซ้ำในเบราว์เซอร์ที่ทำงานบนระบบ Windows 10 (1909) ที่มีการแพตช์อย่างสมบูรณ์
DirectWrite API ถูกใช้เป็นตัวกำหนดฟอนต์แรสเตอร์เริ่มต้นในเว็บเบราว์เซอร์หลักๆ เช่น Chrome, Firefox และ Edge เพื่อแสดงสัญลักษณ์แบบอักษรของเว็บ
เนื่องจากเบราว์เซอร์ใช้ DirectWrite API เพื่อแสดงแบบอักษร ผู้โจมตีจึงสามารถใช้ประโยชน์จากช่องโหว่ดังกล่าวเพื่อทำให้หน่วยความจำเสียหาย ซึ่งอาจทำให้เรียกใช้โค้ดจากระยะไกลบนระบบเป้าหมายได้ตามอำเภอใจ
เมื่อเบราว์เซอร์แสดงร่ายมนตร์จากแบบอักษรของเว็บ เบราว์เซอร์จะส่งต่อข้อมูลไบนารีแบบอักษรของเว็บไปยัง DirectWrite และดำเนินการในกระบวนการแสดงผล ดังนั้น ความเป็นไปได้ที่จะใช้ประโยชน์จากความเสียหายของหน่วยความจำสำหรับการเรียกใช้โค้ดจึงขยายไปถึงผู้โจมตีระยะไกลโดยมีเงื่อนไขว่าผู้โจมตีดังกล่าวประสบความสำเร็จในการบังคับผู้ใช้ไปยังเนื้อหาที่ดาวน์โหลดและแสดงแบบอักษรที่เป็นอันตราย นักวิจัยของ Google Project Zero รายงานผู้โจมตีสามารถหลอกล่อเหยื่อให้เข้าชมเว็บไซต์ด้วยฟอนต์ TrueType ที่ออกแบบมาเพื่อประสงค์ร้าย ซึ่งทำให้บัฟเฟอร์ล้นแบบ heap ในฟังก์ชัน fsg_ExecuteGlyph API
รหัสทำให้สมาชิกโครงสร้างที่ตามมาในการจัดสรรเสียหาย รวมถึงตัวชี้ไปยังโครงสร้างข้อมูลที่สำคัญอื่นๆ ของฟอนต์ สภาวะหน่วยความจำเสียหายสามารถใช้ต่อไปเพื่อรันโค้ดโดยพลการในบริบทของไคลเอ็นต์ DirectWrite” — ตัวแทนคลินิกกล่าวผู้เชี่ยวชาญรายงานปัญหาไปยัง Microsoft Security Response Center เมื่อเดือนพฤศจิกายนปีที่แล้ว บริษัทได้เผยแพร่การอัปเดตด้านความปลอดภัยเพื่อแก้ไขปัญหานี้ในเดือนกุมภาพันธ์ปีนี้
ฉันขอเตือนคุณด้วยว่าเรารายงานว่า Google Project Zero เตือนว่า Fresh Windows LSASS Patch ไม่มีประสิทธิภาพ
