Google揭露Windows 10字型元件RCE漏洞

Google研究人員上周揭露位於Windows一個與字型渲染相關的元件漏洞，可導致遠端攻擊者在Windows機器上執行任意程式碼。

這項漏洞是由Google研究人員Dominik Röttsches 及Google Project Zero研究人員Mateusz Jurczyk合作發現，位於Windows的字型元件Directwrite中的漏洞。他們去年11月向微軟安全回應中心通報，微軟已在今年2月9日的安全更新中予以修補。而在滿90天後，Google也於上周公布漏洞細節。

Google指出，DirectWrite為渲染高品質文字的Windows API，而如果需要顯示高品質的網頁文字，除了字體本身外，應用程式也需支援，才能在Windows機器上顯示精美的字型。目前主要桌面程式，包括Chrome、Edge及Firefox瀏覽器都支援Windows Directwrite作為字型柵格化（rasterizer）引擎。這些瀏覽器將網頁字體渲染為字（glyph）時，會將網頁字體的二進位資料送到DirectWrite以完成渲染的處理。

Google研究人員發現，DirectWrite功能函式DWrite!fsg_ExecuteGlyph的記憶體毁損漏洞，編號CVE-2021-24093，可在DirectWrite在載入和柵格化包含惡意TrueType字型時觸發。細部而言，大幅縮小TrueType字型的maxp欄位值，就會造成從堆積記憶體分配到的緩衝區太小，導致緩衝溢位。Google研究人員指出，只要遠端攻擊者誘使用戶連到能下載並顯示惡意TrueType字型的網頁時，即可造成記憶體毁損，而成功於Windows機器上執行任意程式碼。

CVE-2021-24093漏洞風險指數達到8.8，屬於高度風險，受影響產品包括Windows 10 1607、1803、1809、1909、2004、到20H2的Windows 10及Windows Server 2016、2019、1909、2004、20H2等。

Project Zero同時公布了一個包含惡意TrueType字型的HTML檔作為概念驗證攻擊，證明可以在一臺安全修補完備的Windows 10 1909機器上的各種瀏覽器環境下，引發記憶體毁損。

Google去年10月也修補一個Chrome瀏覽器內的Freetype字型零時差漏洞CVE-2020-15999，可和Windows核心內的另一漏洞CVE-2020-17087串連起來，用於沙箱逃逸（sandbox escape）攻擊。