Google의 정보 보안 전문가인 Project Zero 팀은 Windows 10의 그래픽 구성 요소에서 원격 코드 실행에 치명적인 버그를 악용하기 위한 기술 세부 정보 및 익스플로잇(PoC 코드)을 게시했습니다.
연구원들이 취약점(CVE-2021-24093 ) DirectWrite – 화면의 텍스트 서식 지정 및 개별 글리프 렌더링을 위한 Microsoft의 API(응용 프로그래밍 인터페이스) – Microsoft.이 문제는 여러 버전의 Windows 10 및 Windows Server 20H2 이전 버전에 영향을 미칩니다.
90일의 공개 기한이 지난 후, Project Zero는 완전히 패치된 Windows 10(1909) 시스템에서 실행되는 브라우저에서 문제를 재현하기 위해 취약점을 악용하는 PoC 테스트 코드를 출시했습니다.
DirectWrite API는 Chrome, Firefox 및 Edge와 같은 주요 웹 브라우저에서 기본 글꼴 래스터라이저로 사용되어 웹 글꼴 글리프를 렌더링합니다.
브라우저는 DirectWrite API를 사용하여 글꼴을 렌더링하기 때문에 공격자는 이 취약점을 악용하여 대상 시스템에서 원격으로 임의의 코드를 실행할 수 있는 메모리 손상 상태를 유발할 수 있습니다.
브라우저가 웹 글꼴의 글리프를 표시할 때 웹 글꼴 이진 데이터를 DirectWrite에 전달하고 렌더링 프로세스에서 실행합니다. 따라서 코드 실행을 위해 메모리 손상을 활용할 가능성은 원격 공격자가 악성 글꼴을 다운로드하고 표시하는 콘텐츠로 사용자를 유도하는 데 성공한 조건으로 원격 공격자에게까지 확장됩니다. Google Project Zero 연구원은 보고합니다.공격자는 fsg_ExecuteGlyph API 함수에서 힙 기반 버퍼 오버플로를 유발하는 악의적으로 제작된 TrueType 글꼴로 웹사이트를 방문하도록 피해자를 속일 수 있습니다.
코드는 글꼴의 다른 중요한 데이터 구조에 대한 포인터를 포함하여 할당에서 더 멀리 있는 후속 구조 멤버를 손상시킵니다. 메모리 손상 상태는 DirectWrite 클라이언트 컨텍스트에서 임의의 코드를 실행하는 데 더욱 활용될 수 있습니다.”라고 클리닉 담당자가 말했습니다.전문가들은 지난 11월 Microsoft 보안 대응 센터에 이 문제를 보고했습니다. 회사는 올해 2월에 이 문제를 해결하기 위한 보안 업데이트를 출시했습니다.
또한 Google Project Zero에서 Fresh Windows LSASS 패치가 효과가 없다는 경고를 보고했음을 알려드립니다.