Lỗ hổng (CVE-2021-24093) được Microsoft vá vào ngày 9/2 trong bản cập nhật Patch Tuesday tháng 2. Lỗ hổng có điểm CVSS 8.8, nhưng Microsoft đánh giá lỗ hổng này có mức nghiêm trọng đối với tất cả các hệ điều hành bị ảnh hưởng gồm: Windows 10, Windows Server 2016, 2019 và Windows Server.
Theo Microsoft, lỗ hổng ảnh hưởng đến một thành phần đồ họa của Windows và có thể bị khai thác bằng cách đánh lừa người dùng truy cập đến một trang web lưu trữ tệp được thiết kế đặc biệt để khai thác lỗ hổng.
Trước khi bị công khai vào 24/2/2021, các nhà nghiên cứu của Google đã báo cáo lỗ hổng cho Microsoft vào cuối tháng 11/2020. Động thái này được thực hiện sau khoảng hai tuần khi Microsoft phát hành bản vá.
Dominik Röttsches và Mateusz Jurczyk, các nhà nghiên cứu báo cáo lỗ hổng mô tả: lỗ hổng định danh CVE-2021-24093 là lỗ hổng tràn bộ đệm dựa trên heap DirectWrite, liên quan đến việc xử lý phông chữ TrueType tự tạo đặc biệt. Tin tặc có thể kích hoạt tình trạng lỗi bộ nhớ để thực thi mã tùy ý trong ngữ cảnh của máy khách DirectWrite. DirectWrite là một API Windows được thiết kế để kết xuất văn bản chất lượng cao.
Các nhà nghiên cứu đã thử nghiệm cách khai thác trên Windows 10 được vá đầy đủ trong tất cả các trình duyệt chính. Ngoài chi tiết kỹ thuật, họ đã phát hành một PoC. Tuy nhiên, dựa trên đánh giá khả năng khai thác, Microsoft cho rằng lỗ hổng sẽ không bị khai thác trong thực tế.
M.H
09:00 | 11/03/2021
14:00 | 23/03/2021
16:00 | 22/05/2021
10:00 | 25/02/2021
17:00 | 25/02/2021
17:00 | 17/11/2021
09:00 | 16/11/2021
14:00 | 05/02/2021
14:00 | 08/03/2021
09:00 | 15/06/2021
09:00 | 02/04/2024
Một chiến dịch phần mềm độc hại trên quy mô lớn có tên Sign1 đã xâm phạm hơn 39.000 trang web WordPress trong 6 tháng qua, sử dụng cách thức chèn mã JavaScript độc hại để chuyển hướng người dùng đến các trang web lừa đảo.
09:00 | 08/03/2024
Thông tin chi tiết về một lỗ hổng có độ nghiêm trọng mức cao trong ứng dụng Shortcut của Apple đã được công bố, trong đó lỗ hổng có thể cho phép một Shortcut truy cập thông tin nhạy cảm trên thiết bị mà không có sự đồng ý của người dùng.
10:00 | 04/03/2024
Mới đây, công ty sản xuất camera Wyze đã chia sẻ thông tin chi tiết về sự cố bảo mật đã ảnh hưởng đến hàng nghìn người dùng vào hôm 16/02 và cho biết ít nhất 13.000 khách hàng có thể xem clip từ camera nhà của những người dùng khác.
13:00 | 07/02/2024
Vừa qua, Trung tâm ứng cứu khẩn cấp máy tính Ukraine (CERT-UA) phát cảnh báo về việc hơn 2.000 máy tính ở nước này đã bị lây nhiễm một loại phần mềm độc hại có tên là DirtyMoe.
Một nhóm tin tặc được cho là từ Việt Nam đang nhắm mục tiêu vào các tổ chức tài chính ở châu Á để đánh cắp các dữ liệu tài chính.
10:00 | 24/04/2024