Bezpečnostní experti Googlu Dominik Röttsches a Mateusz Jurczyk z týmu Project Zero, zaměřujícího se na vyhledávání chyb, odhalili podrobnosti o vážné zranitelnosti ve Windows. Kromě technických detailů publikovali také ukázkový důkaz principu (proof-of-concept; PoC).
Zjištěná bezpečnostní trhlina mohla umožnit útočníkům vzdáleně spustit kód a získat tak kontrolu nad napadeným systémem. Zranitelnost, evidovaná jako CVE-2021-24093, se týkala grafické komponenty a postihovala Windows 10 a Windows Server ve verzi 20H2 a starší.
Díra v aplikačním rozhraní
Chyba se nacházela v aplikačním rozhraní (API) Windows, označovaném jako Microsoft DirectWrite. Jeho úkolem je zajišťovat hardwarově či softwarově akcelerované vykreslování textového rozhraní a znaků na obrazovce zařízení.
Útočníci mohli zneužít chybu CVE-2021-24093 tak, že přimějí oběť k návštěvě webových stránek s upravenými fonty TrueType. Ty ve funkci API fsg_ExecuteGlyph způsobí přetečení vyrovnávací paměti. Podobný problém byl zjištěn také v populární knihovně pro vykreslování textu FreeType, a i zde Google již zjednal nápravu.
Röttsches a Jurczyk odhalili problém v listopadu loňského roku a neprodleně ho ohlásili Microsoft Security Response Center. Vývojáři začali pracovat na opravě, která byla vydána v rámci pravidelných „záplatovacích úterků“ 9. února tohoto roku.
Nevěříte? Tak si to zkuste!
Po vypršení lhůty 90 dní zveřejnili odborníci kód exploitu, který lze použít k reprodukci chyby v prohlížečích běžících na zařízeních se systémem Windows 10 ve verzi 1909 se všemi dostupnými aktualizacemi. „Připojeno je písmo TrueType, které dokazuje koncept, spolu se souborem HTML, jež ho vkládá a zobrazuje znak AE,“ uvedli.
Po spuštění kódu dojde nejprve k přetečení vyrovnávací paměti rozhraní DirectWrite API, které se používá pro rastrování písma u hlavních webových prohlížečů, jako jsou Chrome, Firefox a Edge. To následně umožní vzdálené spuštění libovolného kódu.