Google veröffentlicht Exploit für kritischen Bug der Windows-Grafik-API

Das Team von Projekt Zero, Googles Zero-Day-Fehlerjagdteam, hat tech­nische Details zu einer Schwachstelle in der Windows-Grafik­komponente veröffentlicht. Mit einem Proof-of-Concept zeigt das Team dabei die Über­nahme eines Systems mit Hilfe einer TrueType-Schrift.
Update, Sicherheit, Sicherheitslücke, Hacker, Security, Patch, Malware, Angriff, Hack, Kriminalität, Linux, Server, Virus, Schadsoftware, Exploit, Cybercrime, Cybersecurity, Hackerangriff, Hacking, Internetkriminalität, Sicherheitslücken, Darknet, Hacker Angriffe, Hacker Angriff, Hacken, Sicherheitsupdate, Kurs, Attack, Aktienkurs, Hacks, Crime, Sicherheitslösung, Schädling, Russische Hacker, Cyberwar, China Hacker, Risiko, Cyberangriff, Sicherheitsrisiko, Sicherheitsproblem, Cyberattacke
Die Sicherheitsforscher von Projekt Zero haben nun weitere Details zu der Schwachstelle veröffentlicht und zeigen die Übernahme mit einem Proof-of-Concept-Exploit. Der Fehler wurde bereits im November an das Microsoft Security Response Center gemeldet. Nachdem nun am 9. Februar auch das entsprechende Sicherheitsupdates veröffentlicht wurde und die 90-tägige Sperrfrist für die Veröffentlichung vorbei ist, folgen nun Einzelheiten zu der Schwachstelle CVE-2021-24093.


Patch ist verfügbar

Microsoft hat die als kritische eingestufte Sicherheitslücke mit dem Patchday Februar 2021 für Windows 10 behoben - wer das Update also noch nicht installiert hat, sollte das schnell nachholen.

Ein Fehler in der Windows-Schnittstelle zur Textdarstellung namens Microsoft DirectWrite ist dabei der Auslöser. Die DirectWrite-API wird von den bekannten Webbrowsern wie Chrome, Firefox und Edge als Standard-Font-Rasterizer für das Rendering von Webfont-Glyphen ver­wendet. Da diese Webbrowser die DirectWrite-API für das Rendern von Schriftarten verwenden, kann die Sicherheitslücke von Angreifern ausgenutzt werden, um einen Zustand der Speicherkorruption auszulösen. Dieser Zustand ermöglicht es einem Angreifer dann, beliebigen Code auf den Ziel­systemen auch aus der Ferne auszuführen.

Das macht die Schwachstelle auch so gefährlich. Angreifer können CVE-2021-24093 ausnutzen, indem sie ihre Opfer dazu verleiten, Websites mit entsprechend manipulierten TrueType-Schriften zu besuchen, die einen Heap-basierten Pufferüberlauf in der API-Funktion fsg_ExecuteGlyph auslösen. Das kann zum Beispiel mit einer Phishing-Kampagne passieren.

Download Windows 10: Kumulativer Patch
Jetzt einen Kommentar schreiben


Alle Kommentare zu dieser News anzeigen
Jetzt als Amazon Blitzangebot
Ab 06:10 Uhr Lisen Legion Go/ROG Ally/Steam Dock, 13-in-1 Dockingstation mit 5 USB 3.0 und 2.0, Zwei Lüftern, HDMI 4K bei 60 Hz, Gigabit Ethernet, 100 W Aufladung für Stream Deck/LenovoLisen Legion Go/ROG Ally/Steam Dock, 13-in-1 Dockingstation mit 5 USB 3.0 und 2.0, Zwei Lüftern, HDMI 4K bei 60 Hz, Gigabit Ethernet, 100 W Aufladung für Stream Deck/Lenovo
Original Amazon-Preis
79,98
Im Preisvergleich ab
?
Blitzangebot-Preis
53,98
Ersparnis zu Amazon 33% oder 26
Beiträge aus dem Forum
Tipp einsenden
❤ WinFuture unterstützen
Sie wollen online einkaufen? Dann nutzen Sie bitte einen der folgenden Links, um WinFuture zu unterstützen: Vielen Dank!