ทีม Project Zero เผยเเพร่โค้ด PoC ของช่องโหว่ที่อยู่ใน Graphics ของ Windows 10
ทีม Project Zero จาก Google ได้เปิดเผยรายละเอียดทางเทคนิคและโค้ดซึ่งใช้ประโยชน์จากช่องโหว่หรือ Proof-of-Concept (PoC) สำหรับช่องโหว่การเรียกใช้โค้ดระยะไกล (Remote Code Execution - RCE) ที่ส่งผลต่อส่วนประกอบกราฟิกบนระบบปฏิบัติการ Windows โดยช่องโหว่ถูกติดตามด้วยรหัส CVE-2021-24093 เป็นช่องโหว่ใน Windows API ที่มีชื่อว่า Microsoft DirectWrite
เนื่องจาก DirectWrite API ถูกใช้เป็นเครื่องมือในการอ่านแบบอักษรเริ่มต้นที่ถูกใช้โดยเว็บเบราว์เซอร์หลัก ๆ เช่น Chrome, Firefox และ Edge สำหรับการแสดงตัวอักษรบนเว็บ ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ได้โดยการทำ memory corruption เพื่อให้เกิดความเสียหายในหน่วยความจำซึ่งอาจทำให้ผู้โจมตีสามารถเรียกใช้โค้ดได้โดยไม่ได้รับอนุญาตระบบของเป้าหมายได้จากระยะไกล หรือผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ดังกล่าวได้โดยการหลอกล่อเป้าหมายให้เข้าเยื่ยมชมเว็บไซต์ของผู้โจมตีที่ออกแบบมาเพื่อประสงค์ร้ายซึ่งเว็บไซต์อาจทำให้เกิด Heap-based buffer overflow ในฟังก์ชัน fsg_ExecuteGlyph API ซึ่งอาจทำให้ผู้โจมตีสามารถเรียกใช้โค้ดได้โดยไม่ได้รับอนุญาตระบบของเป้าหมายได้จากระยะไกลgเช่นเดียวกันกับกรณีเเรก
ช่องโหว่นี้จะส่งผลกระทบต่อ Windows 10 และ Windows Server หลายรุ่นจนถึง Windows 10 เวอร์ชัน 20H2 ซึ่งเป็นเวอร์ชันล่าสุดที่เพิ่งเปิดตัว โดยหลังจากทีม Project Zero พบช่องโหว่เป็นเวลา 90 วันได้ทำการเผยเเพร่โค้ด PoC สำหรับช่องโหว่สู่สาธารณะ ทั้งนี้ผู้ใช้ควรทำการอัปเดตเเพตช์ความปลอดภัยให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันการตกเป็นเหยื่อของผู้ประสงค์ร้าย
ที่มา: bleepingcomputer
You must be logged in to post a comment.