谷歌公開Win10漏洞：黑客可通過網頁字體發動攻擊

據 MSPowerUser 2 月 28 日報道，谷歌公開了一個 Win10 系統的漏洞，該漏洞可使用戶在不知情的情況下授權惡意軟件訪問內核的權利，從而遭受黑客攻擊。這個漏洞來源于 Windows 的字體渲染器 Microsoft DirectWrite。

這個字體渲染器是被 Chrome、Firefox 和 Edge 等主流網絡瀏覽器用作默認的字體光柵化器，用于渲染網絡字體字形。它容易被特制的 TrueType 字體破壞，從而導致其內存損壞和崩潰，然后惡意程序可以用來獲得內核使用權限，黑客也可以遠程在目標系統上執行任意操作。

我們了解到，谷歌旗下 Project Zero 的研究人員在一個名為 Microsoft DirectWrite 的文本渲染 API 中發現了這個漏洞，該缺陷的資料庫代碼為 CVE-2021-24093。他們在 11 月向微軟安全響應中心報告了該漏洞。微軟公司于 2 月 9 日發布了安全更新，在所有易受攻擊的平臺上解決了這一問題。該安全漏洞影響多個 Windows 10 和 Windows Server 版本，直至最新發布的 20H2 版本。

攻擊者可以通過誘導目標用戶訪問帶有惡意制作的 TrueType 字體的網站，從而利用 CVE-2021-24093，觸發 fsg_ExecuteGlyph API 函數中緩沖區溢出，從而獲得 Windows 的內核使用權限。

我們建議所有微軟用戶進行安全更新，以避免遭到惡意站點或軟件的攻擊。