安基网 首页 资讯 安全报 查看内容

谷歌公开Win10漏洞:黑客可通过网页字体发动攻击

2021-3-2 11:44| 投稿: xiaotiger |来自: 互联网


免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

摘要: IT之家 3 月 1 日消息 据 MSPowerUser 2 月 28 日报道,谷歌公开了一个 Win10 系统的漏洞,该漏洞可使用户在不知情的情况下授权恶意软件访问内核的权利,从而遭受黑客攻击。这个漏洞来源于 Windows 的字体渲染器 Mic ...

IT之家 3 月 1 日消息 据 MSPowerUser 2 月 28 日报道,谷歌公开了一个 Win10 系统的漏洞,该漏洞可使用户在不知情的情况下授权恶意软件访问内核的权利,从而遭受黑客攻击。这个漏洞来源于 Windows 的字体渲染器 Microsoft DirectWrite。

这个字体渲染器是被 Chrome、Firefox 和 Edge 等主流网络浏览器用作默认的字体光栅化器,用于渲染网络字体字形。它容易被特制的 TrueType 字体破坏,从而导致其内存损坏和崩溃,然后恶意程序可以用来获得内核使用权限,黑客也可以远程在目标系统上执行任意操作。

IT之家了解到,谷歌旗下 Project Zero 的研究人员在一个名为 Microsoft DirectWrite 的文本渲染 API 中发现了这个漏洞,该缺陷的资料库代码为 CVE-2021-24093。他们在 11 月向微软安全响应中心报告了该漏洞。微软公司于 2 月 9 日发布了安全更新,在所有易受攻击的平台上解决了这一问题。该安全漏洞影响多个 Windows 10 和 Windows Server 版本,直至最新发布的 20H2 版本。

攻击者可以通过诱导目标用户访问带有恶意制作的 TrueType 字体的网站,从而利用 CVE-2021-24093,触发 fsg_ExecuteGlyph API 函数中缓冲区溢出,从而获得 Windows 的内核使用权限。

IT之家建议所有微软用户进行安全更新,以避免遭到恶意站点或软件的攻击。



小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!

本文出自:https://tech.ifeng.com/c/84G2or7xPF6

免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!


鲜花

握手

雷人

路过

鸡蛋

相关阅读

最新评论

 最新
返回顶部