Google tiết lộ chi tiết lỗ hổng thực thi mã từ xa trong Windows

[WhiteHat News #ID:2112]

Nhóm Project Zero của Google vừa tiết lộ chi tiết một lỗ hổng Windows, được vá gần đây, có thể bị khai thác để thực thi mã từ xa.

Lỗ hổng (CVE-2021-24093) được Microsoft vá vào ngày 9/2 trong bản cập nhật Patch Tuesday tháng 2. Lỗ hổng được gán điểm CVSS 8.8, nhưng Microsoft đánh giá lỗ hổng ở mức nghiêm trọng đối với tất cả các hệ điều hành bị ảnh hưởng, gồm Windows 10, Windows Server 2016, 2019 và Windows Server.

Theo Microsoft, lỗ hổng ảnh hưởng đến một thành phần đồ họa của Windows và có thể bị khai thác bằng cách dụ người dùng mục tiêu đến một trang web lưu trữ tệp được thiết kế đặc biệt để khai thác lỗ hổng.

Các nhà nghiên cứu của Google đã báo cáo lỗ hổng cho Microsoft vào cuối tháng 11 và lỗi được công khai hôm thứ Tư vừa rồi, khoảng hai tuần sau khi Microsoft phát hành bản vá.

Dominik Röttsches và Mateusz Jurczyk, các nhà nghiên cứu báo cáo lỗ hổng, mô tả CVE-2021-24093 là lỗi tràn bộ đệm dựa trên heap DirectWrite, liên quan đến việc xử lý phông chữ TrueType tự tạo đặc biệt. Kẻ tấn công có thể kích hoạt tình trạng lỗi bộ nhớ để thực thi mã tùy ý trong ngữ cảnh của máy khách DirectWrite. DirectWrite là một API Windows được thiết kế để kết xuất văn bản chất lượng cao.

Các nhà nghiên cứu đã thử nghiệm cách khai thác của họ trên Windows 10 được vá đầy đủ trong tất cả các trình duyệt chính. Ngoài chi tiết kỹ thuật, họ đã phát hành một PoC.

Tuy nhiên, dựa trên đánh giá khả năng khai thác, Microsoft không tin rằng lỗ hổng sẽ bị khai thác trong thực tế.

Theo Security Week​