Kelemahan keselamatan Windows GDI: risiko, eksploitasi dan tampung

Informatec Digital » Sumber » Kelemahan keselamatan Windows GDI: risiko, eksploitasi dan tampung

Antara Muka Pengguna Grafik Windows (GDI) telah memaparkan tetingkap, teks, ikon dan imej selama beberapa dekad tanpa disedari oleh kebanyakan pengguna. Walau bagaimanapun, komponen sistem asas ini juga telah menjadi sumber beberapa kelemahan keselamatan yang ketara, beberapa eksploitasi hari sifar dan yang lain telah ditampal dalam kemas kini Microsoft yang besar-besaran. Apabila GDI gagal, ia bukan sekadar aplikasi yang ranap: dalam beberapa kes, ia boleh menyebabkan kebocoran data, pelaksanaan kod jauh atau Skrin Kematian Biru (BSOD) yang menyebabkan keseluruhan pelayan tergendala.

Baris berikut memperincikan cara GDI berfungsi, kelemahan khusus yang telah didokumenkan dalam beberapa tahun kebelakangan ini (seperti CVE-2017-11816, CVE-2020-1435, atau CVE-2023-36884 ), bagaimana ia dieksploitasi , kesan sebenar yang diberikannya terhadap persekitaran rumah dan korporat, dan langkah praktikal yang boleh digunakan oleh pentadbir dan profesional keselamatan siber untuk melindungi sistem Windows mereka, daripada versi lama seperti Windows Vista SP2 hingga edisi moden Windows 11 dan Windows Server.

Apakah Windows GDI dan mengapa ia sangat sensitif dari segi keselamatan?

Antara Muka Peranti Grafik (GDI) ialah API Windows legasi yang bertanggungjawab untuk mengurus semua yang berkaitan dengan pemaparan grafik: daripada melukis garisan dan segi empat tepat hingga memaparkan fon, bitmap dan imej pada skrin atau dalam pencetak. Aplikasi memanggil fungsi daripada pustaka seperti gdi32.dll untuk mencipta konteks peranti (HDC), berus, pen, rantau dan objek grafik lain, yang diuruskan secara senyap oleh struktur data yang dikawal oleh kernel.

Seni bina GDI dibahagikan antara mod pengguna dan mod kernel . Dalam mod pengguna, DLL gdi32.dll dan pustaka berkaitan lain menerima permintaan lukisan daripada aplikasi. Panggilan ini dihantar ke subsistem tetingkap Windows, yang berjalan dalam mod kernel melalui win32k.sys. Bahagian kernel inilah yang sebenarnya memanipulasi memori sistem, mengesahkan objek grafik dan menghantarnya ke perkakasan. Sebarang pengesahan penunjuk, saiz atau indeks yang tidak mencukupi pada ketika ini membuka pintu kepada ralat bencana.

Untuk menjejaki dan menggunakan semula sumber, sistem ini mengekalkan jadual objek GDI . Setiap proses mempunyai jadualnya sendiri, tetapi terdapat juga jadual global untuk objek kongsi, yang meningkatkan potensi kerosakan jika limpahan penimbal, peristiwa bebas berganda atau rujukan memori tidak sah berlaku. Kegagalan jenis ini boleh menyebabkan kerosakan memori kernel, keadaan perlumbaan, ranap sistem atau pelaksanaan kod sewenang-wenangnya dalam konteks sistem yang paling istimewa.

Dengan ketibaan API yang lebih moden (GDI+, Direct2D, DirectWrite dan juga DirectComposition), Microsoft telah mengurangkan penggunaan GDI dalam aplikasi baharu, tetapi ekosistem perisian legasi yang masih bergantung padanya adalah sangat besar. Legasi ini menjadikan GDI permukaan serangan yang sangat menarik untuk penyelidik dan penyerang.

Kerentanan sejarah: daripada pendedahan maklumat kepada hari sifar

Antara kerentanan tertua yang dikaitkan dengan GDI ialah kerentanan pendedahan maklumat yang didokumenkan, CVE-2017-11816 . Dalam kes ini, masalahnya terletak pada cara GDI mengendalikan objek tertentu dalam memori, yang membolehkan pengguna yang berniat jahat mendapatkan data daripada sistem sasaran yang sepatutnya tidak boleh diakses. Ia bukanlah pelaksanaan kod, tetapi sebaliknya pelanggaran kerahsiaan yang serius.

Kerentanan ini menjejaskan pelbagai edisi Windows dan memaksa Microsoft untuk mengeluarkan kemas kini keselamatan tertentu. Kecacatan tersebut terletak pada pengendalian dalaman struktur grafik, di mana subsistem gagal membersihkan atau mengesahkan kawasan memori tertentu dengan betul sebelum menggunakannya semula, membolehkan maklumat baki yang dimiliki oleh proses lain atau sistem pengendalian itu sendiri dibaca .

Pembetulan itu tiba dalam kemas kini keselamatan yang termasuk dalam kitaran "Patch Tuesday" biasa pada Oktober 2017. Bersama-sama dengan penerangan kerentanan, Microsoft menyediakan jadual yang luas yang menyenaraikan fail yang terjejas dan versi yang lebih baharu: contohnya, binaan gdi32.dll yang berbeza untuk platform x86, x64 dan IA-64, dengan tarikh seperti 8 September 2017 dan versi fail seperti 6.0.6002.24200. Perincian ini membolehkan pentadbir mengesahkan bahawa tampalan telah digunakan dengan betul.

Kemudian, penyelidik dari Project Zero (Google) mendedahkan satu lagi kelemahan zero-day yang berkaitan dengan gdi32.dll dalam mod pengguna . Kali ini, kecacatan tersebut menjejaskan pengendalian DIB (Device Independent Bitmaps) yang terbenam dalam daftar EMF (Enhanced Metafile). Manipulasi bitmap yang tidak betul dalam metafile membolehkan pengekstrakan maklumat daripada memori proses, dengan kesan langsung terhadap privasi data.

Kerentanan zero-day ini boleh dihasilkan semula secara setempat melalui Internet Explorer dan dari jauh melalui Office Online dengan membuka dokumen DOCX dengan EMF yang direka khas. Senarai versi yang terjejas adalah luas, bermula daripada Windows Vista Service Pack 2 hingga Windows 10 , dan termasuk versi Windows Server seperti 2012 R2 dan 2016. Isu ini menjadi umum selepas tempoh standard Project Zero 90 hari tamat tempoh tanpa tampalan dikeluarkan, secara rasmi menjadikan kerentanan ini sebagai eksploitasi zero-day yang praktikal.

Sementara itu, Microsoft mengalami insiden yang ketara: isu dalaman menghalang mereka daripada mengeluarkan pakej tampalan Selasa Patch yang dijadualkan selama sebulan, sekali gus menangguhkan pembaikan sehingga kitaran seterusnya. Jenis kelewatan ini meningkatkan masa pendedahan kerentanan yang telah diketahui oleh komuniti penyelidikan.

Pepijat kritikal terkini: BSOD, pelaksanaan jauh dan kelompok tampung yang besar

Lama-kelamaan, kerentanan dalam GDI telah berkembang menjadi senario yang lebih serius. Satu contoh yang amat menarik ialah kerentanan penafian perkhidmatan yang dikenal pasti sebagai CVE-2023-36884 , yang menjejaskan versi Windows 10 (bermula dengan 1607), Windows 11 dan Windows Server 2016, 2019 dan 2022. Walaupun pengecam telah dikaitkan dengan komponen yang berbeza bergantung pada buletin, analisis teknikal menerangkan kecacatan kritikal dalam subsistem grafik yang mampu menyebabkan skrin biru kematian (BSOD) semasa memproses objek grafik yang cacat.

Masalahnya berkaitan dengan fungsi NtGdiDdDeleteDeviceBitmap dalam win32k.sys . Apabila mengendalikan bitmap grafik atau peranti yang tidak sah, kod yang terdedah gagal melakukan pemeriksaan sempadan penimbal yang menyeluruh apabila menyalin data daripada struktur peranti (cth., jenis DD_DEVICE_OEM). Peninggalan ini membolehkan memori bersebelahan ditulis ganti dalam kernel, menghasilkan pengecualian akses memori (PAGE_FAULT_IN_NONPAGED_AREA, kod 0x00000050) dan mencetuskan Skrin Kematian Biru (BSOD) dengan kod seperti IRQL_NOT_LESS_OR_EQUAL atau yang serupa.

Aliran eksploitasi biasa bermula dengan data grafik yang terbenam dalam protokol rangkaian seperti SMB atau RDP, atau melalui WebDAV atau perkhidmatan cetak. Fail EMF yang cacat bergerak sebagai sebahagian daripada dokumen atau strim jauh, dan apabila aplikasi seperti Office, Edge, pemapar imej atau File Explorer itu sendiri cuba mentafsir kandungannya, subsistem GDI akan dipanggil untuk memprosesnya. Rutin penghuraian gagal mengesahkan daftar objek tertentu dengan betul, membolehkan penunjuk di luar julat dinyahrujuk dan menjejaskan kestabilan memori kernel (terutamanya Non-Paged Pool).

Walaupun kesan yang dilaporkan dalam buletin rasmi tertumpu pada penafian perkhidmatan (DoS) , pelbagai penyelidik telah menunjukkan bahawa, dengan teknik yang lebih canggih untuk mengeksploitasi kerosakan memori (contohnya, dengan menyerang timbunan), adalah mungkin untuk membina rantai yang membawa kepada pelaksanaan kod mod kernel, serupa dengan apa yang telah dilihat dengan kelemahan dalam komponen lain seperti MSHTML (kes CVE-2021-40444).

Kekritikan GDI juga telah tercermin dalam gelombang besar tampalan. Pada Julai 2020, Microsoft mengeluarkan kemas kini besar-besaran yang membetulkan 123 kerentanan dalam produknya, 18 daripadanya diklasifikasikan sebagai kritikal. Antara yang terakhir ialah CVE-2020-1435, yang berkaitan secara langsung dengan cara GDI memanipulasi objek dalam ingatan. Jika penyerang berjaya memperdaya mangsa untuk membuka kandungan yang dibuat khas (contohnya, dengan melayari laman web berniat jahat), ia boleh mencetuskan pelaksanaan kod jauh dengan keistimewaan yang sama seperti pengguna.

Dalam kelompok yang sama muncul CVE-2020-1436, yang dikaitkan dengan pengendalian fon yang direka khas, dan CVE-2020-1350 yang berprofil tinggi , satu kelemahan kritikal dalam pelayan DNS Windows dengan keupayaan seperti cacing, yang mampu menyebarkan perisian hasad tanpa interaksi pengguna. Walaupun yang terakhir tidak menjejaskan GDI, ia menggambarkan konteksnya: satu pakej tampalan mengandungi kelemahan dalam perkhidmatan rangkaian, hipervisor (beberapa kelemahan pelaksanaan jauh dalam Hyper-V), dan antara muka grafik itu sendiri.

CVE-2020-1435, khususnya, berkaitan dengan cara GDI mengendalikan objek grafik dalam memori . Eksploitasi yang berjaya akan membolehkan penyerang memasang program, melihat, mengubah suai atau memadam data dan mencipta akaun pengguna dengan keistimewaan penuh. Vektor serangan biasa melibatkan memperdaya pengguna untuk melawati laman web berniat jahat atau membuka fail yang mengandungi sumber grafik yang direka untuk mengeksploitasi kerentanan tersebut. Ini sesuai dengan corak sejarah GDI: sebarang kandungan visual yang bergantung pada enjin pemaparannya boleh menjadi kerentanan jika sistem tidak dikemas kini.

Dalam kitaran tampalan Julai 2020 yang sama ini, beberapa kelemahan kritikal dalam Hyper-V juga diumumkan (CVE-2020-1041, -1040, -1032, -1036, -1042 dan -1043) , menunjukkan bagaimana komponen Windows yang berbeza (rangkaian, virtualisasi, grafik) boleh menjadi penghubung dalam rantaian serangan yang sama jika organisasi tidak mengekalkan program pengurusan tampalan yang ketat.

Kesan sebenar pada sistem Windows, versi terjejas dan vektor

Julat versi yang terjejas oleh kerentanan GDI adalah luas. Dalam kes zero-day yang didokumenkan oleh Project Zero, kerentanan dalam gdi32.dll menjejaskan Windows Vista SP2, Windows 7, Windows 8.1, Windows 10 dan beberapa edisi Windows Server (2012 R2, 2016, dll.). Ini bermakna sebilangan besar komputer, baik di rumah mahupun korporat, boleh menjadi mangsa kebocoran memori hanya dengan membuka dokumen, melayari Internet Explorer atau menggunakan Office Online.

Dalam senario berfokus BSOD terkini, Microsoft mengesahkan bahawa kerentanan yang dianalisis menjejaskan Windows 10 dari versi 1607 dan seterusnya, Windows 11 dan Windows Server 2016/2019/2022 , termasuk edisi Enterprise, Education dan LTSC. Versi yang tidak lagi disokong lanjutan, seperti Windows 7 atau 8.1, tidak dilindungi oleh tampalan rasmi, tetapi itu tidak bermakna ia bebas daripada isu GDI; ia hanya bermakna ia tidak menerima pembetulan tetap.

Pada peringkat operasi, impak boleh diringkaskan dalam tiga kategori: pendedahan maklumat (membaca memori yang sepatutnya bersifat peribadi), penafian perkhidmatan (BSOD berulang) dan pelaksanaan kod jauh . Dalam persekitaran perusahaan, BSOD pada pelayan dengan peranan penting (contohnya, pelayan cetakan kongsi atau hos Hyper-V) boleh mencetuskan tindak balas berantai kegagalan: gangguan perkhidmatan cetakan, penutupan mesin maya yang tidak dijangka, kehilangan data dalam sesi jauh dan masa pemulihan yang panjang.

Dari perspektif rangkaian, GDI boleh dieksploitasi melalui protokol seperti SMB (port 445), RDP atau WebDAV jika mana-mana perkhidmatan memproses imej atau metafail EMF/WMF yang diterima secara automatik. Secara setempat, ia hanya memerlukan pengguna membuka fail berniat jahat dalam aplikasi yang menggunakan GDI, seperti Paint, WordPad, pemapar imej lama atau proses yang terlibat dalam melihat pratonton ikon dan lakaran kecil dalam File Explorer . Rantaian serangan yang paling biasa menggabungkan e-mel pancingan data dengan dokumen DOCX atau PDF yang mengandungi fail EMF yang cacat.

Dalam organisasi yang dikawal selia (kewangan, penjagaan kesihatan, pentadbiran awam), insiden yang disebabkan oleh kelemahan yang tidak ditambal boleh membawa akibat undang-undang dan kawal selia. Skrin Kematian Biru (BSOD) yang merosakkan sistem kritikal boleh dianggap sebagai peristiwa keselamatan yang menjejaskan kesinambungan perkhidmatan, yang seterusnya boleh mencetuskan audit dan penalti yang berkaitan dengan rangka kerja seperti GDPR atau HIPAA. Tambahan pula, pelbagai laporan risikan ancaman telah mengaitkan eksploitasi kelemahan dalam subsistem grafik dengan kumpulan APT yang menyasarkan sasaran bernilai tinggi di Asia dan Eropah.

Perlu diingat bahawa, menurut data industri biasa (contohnya, yang tercermin dalam laporan pelanggaran data tahunan), peratusan ketara peranti Windows masih belum ditambal selama lebih daripada 90 hari selepas pelancaran kemas kini kritikal. Ini meninggalkan peluang yang luas untuk penyerang mengautomasikan eksploitasi dan mengintegrasikannya ke dalam rangka kerja seperti Metasploit atau Cobalt Strike, yang mampu mengimbas seluruh julat rangkaian untuk hos yang terdedah.

Cara Microsoft mengedarkan pembetulan dan fail mana yang akan diubah suai

Apabila kerentanan ditemui dalam GDI, Microsoft mengeluarkan kemas kini keselamatan, biasanya digabungkan ke dalam rollup bulanan. Kemas kini ini biasanya dihantar melalui Windows Update , Katalog Kemas Kini Microsoft atau alat pengurusan seperti Windows Server Update Services (WSUS) dan Microsoft Endpoint Configuration Manager (MECM). Dalam kes kerentanan CVE-2017-11816, kemas kini yang sepadan (contohnya, KB4042121 untuk Windows Server 2008) boleh didapati daripada Windows Update atau katalog, sebagai fail .msu yang berdiri sendiri.

Satu keanehan yang ditekankan oleh Microsoft ialah jika pek bahasa dipasang selepas menggunakan kemas kini , tampalan keselamatan mesti dipasang semula. Oleh itu, sentiasa disyorkan untuk menggunakan bahasa yang diperlukan terlebih dahulu dan kemudian kemas kini. Perincian ini, yang mungkin kelihatan kecil, telah membawa kepada lebih daripada satu kes di mana sistem telah disalah anggap telah ditampal sedangkan, pada hakikatnya, binari GDI tertentu tidak mengandungi versi yang telah dibetulkan.

Dalam dokumentasi yang berkaitan dengan buletin ini, Microsoft menyediakan jadual yang luas dengan maklumat fail : nama (contohnya, gdi32.dll), versi tertentu, saiz, tarikh, masa dan platform (x86, x64, IA-64). Jadual ini membolehkan pentadbir dan juruaudit mengesahkan secara forensik sama ada binari yang betul dipasang. Proses yang serupa digunakan untuk pakej .msu dan .exe bagi edisi Windows dan Office yang berbeza, di mana hash SHA1 dan SHA256 bagi setiap fail disenaraikan supaya pasukan boleh mengesahkan integritinya.

Senarai fail dan hash sangat banyak: daripada Windows6.0-KB2834886-x86.msu dan varian x64 dan ia64nya, sehingga Windows6.1-KB2835364-x64.msu, Windows8-RT-KB2835361-x86.msu, berpuluh-puluh pemasang untuk Windows Server 2003 dan Windows XP dalam semua jenis bahasa (CHS, CHT, DEU, ESN, FRA, ITA, JPN, KOR, PTB, PTG, RUS, dll.), kepada tampalan untuk komponen Office dan Lync seperti AttendeeAdmin.msp, ogl2007-kb2687309-fullfile-x86-glb.exe atau lyncloc2013-kb2817465-fullfile-x64-glb.exe. Setiap satunya menggabungkan hash SHA1 dan SHA256nya sendiri untuk memudahkan pengesahan.

Dalam semua kes ini, matlamat utama adalah sama: untuk mengemas kini fail gdi32.dll (atau binari subsistem grafik yang berkaitan) kepada versi selamat. Pada platform seperti Windows Server 2008, sebagai contoh, gdi32.dll disenaraikan sebagai versi 6.0.6002.24200, dengan saiz yang berbeza-beza bergantung pada seni bina (sekitar 299.520 bait pada x86, 391.680 bait pada x64 dan 955.392 bait pada IA-64). Nilai-nilai ini, bersama-sama dengan tarikh binaan, adalah rujukan asas untuk menentukan sama ada sistem telah menggunakan tampalan.

Dokumentasi rasmi juga merujuk kepada artikel Pangkalan Pengetahuan dengan butiran tentang pelaksanaan dan penggunaan kemas kini ini, serta pautan ke sumber sokongan: halaman bantuan Kemas Kini Windows, portal keselamatan untuk profesional IT (seperti TechNet Security), tapak sokongan antarabangsa dan perkhidmatan khusus untuk memerangi perisian hasad di bawah jenama Microsoft Secure.

Amalan baik untuk mitigasi, pemantauan dan tindak balas

Selain memasang tampalan sebaik sahaja ia tersedia, terdapat beberapa langkah mitigasi dan pertahanan mendalam yang membantu mengurangkan risiko yang berkaitan dengan kegagalan GDI, terutamanya dalam persekitaran korporat dengan ratusan atau ribuan komputer.

Pertama sekali, adalah dinasihatkan untuk mengehadkan permukaan serangan dengan melumpuhkan atau menyekat pemprosesan automatik format grafik tertentu dalam aplikasi dan pelayar. Contohnya, dalam Microsoft Edge, anda boleh mengkonfigurasi dasar kumpulan untuk menyekat atau mengawal muat turun dan pengendalian fail meta EMF/WMF menggunakan kekunci pendaftaran di bawah HKLM\SOFTWARE\Policies\Microsoft\Edge yang berkaitan dengan sekatan muat turun. Dalam aplikasi lain, anda boleh menggunakan pilihan konfigurasi untuk menghalang pratonton dokumen automatik daripada lokasi yang tidak dipercayai dan menggunakan panduan penyelesaian masalah untuk menyelesaikan ketidakresponsifan File Explorer.

Satu lagi lapisan penting ialah segmentasi rangkaian mengikut prinsip Zero Trust . Ini termasuk mengehadkan trafik protokol SMB, RDP dan lain-lain yang berpotensi dieksploitasi hanya kepada subnet yang sangat diperlukan, melaksanakan tembok api generasi akan datang dengan pemeriksaan paket mendalam dan menguatkuasakan peraturan berasaskan identiti dan konteks. Dengan mengehadkan peranti mana yang boleh berkomunikasi dengan perkhidmatan mana, kesan eksploitasi yang cuba merebak secara lateral berkurangan secara drastik.

Dari segi pengesanan, pelaksanaan penyelesaian Pengesanan dan Tindak Balas Titik Akhir (EDR), seperti Microsoft Defender untuk Titik Akhir, membantu memantau tingkah laku anomali yang berkaitan dengan peristiwa win32k.sys, gdi32.dll dan BSOD . Mengkonfigurasi amaran untuk lonjakan ralat skrin biru (contohnya, bermula dengan ID Peristiwa 1001 dalam Pemapar Peristiwa) dan akses luar biasa kepada subsistem grafik boleh membantu mengenal pasti percubaan eksploitasi atau ketidakstabilan yang disebabkan oleh perisian hasad.

Untuk pengurusan tampalan, sangat disyorkan untuk mengautomasikan penggunaan menggunakan Windows Update for Business, WSUS atau MECM, tetapi sentiasa menggabungkan fasa pengujian dalam persekitaran pementasan untuk mengesan potensi regresi sebelum dilancarkan. Dalam infrastruktur dengan jurang udara, adalah dinasihatkan untuk mengaudit semua fail masuk dengan alatan seperti peraturan YARA yang direka untuk mengenal pasti corak yang mencurigakan dalam EMF/WMF dan format grafik lain.

Dalam senario yang lebih maju, sesetengah organisasi sedang mempertimbangkan untuk memindahkan aplikasi dalaman mereka kepada API yang lebih moden seperti Direct2D, DirectWrite atau enjin grafik merentas platform (Kaherah, Skia), yang menawarkan pengasingan yang lebih baik dan kurang pergantungan pada GDI legasi. Dalam jangka masa sederhana, Microsoft boleh menghentikan sebahagian besar GDI dalam versi Windows akan datang untuk mengurangkan permukaan serangan, walaupun keserasian dengan perisian lama akan kekal menjadi cabaran.

Dari perspektif forensik dan kejuruteraan terbalik, alat seperti WinDbg, KD dan Volatility membolehkan pembedahan lambakan memori berikutan BSOD (Blue Screen of Death) dan pemerhatian kerosakan dalam memori berlabel "Gdi" dalam kolam memori kernel. Eksploitasi bukti konsep yang diterbitkan untuk tujuan penyelidikan menunjukkan bagaimana EMF (Engine Memory File) dengan daftar yang cacat tertentu (contohnya, dalam EMR_HEADER) boleh memaksa keadaan perlumbaan dan mencetuskan ranap. Pengetahuan ini adalah penting untuk pasukan tindak balas insiden bagi membina semula apa yang berlaku dalam serangan dunia sebenar.

Sekiranya berlaku insiden, adalah disyorkan untuk mengikuti rangka kerja tindakan seperti NIST (Kenal Pasti, Bendung, Hapuskan, Pulihkan). Ini melibatkan pengasingan sistem yang terjejas , memelihara bukti (timbunan memori, log, sampel fail yang mencurigakan), menggunakan tampalan yang belum selesai, mengimbas sistem dengan alat anti-perisian hasad yang dikemas kini dan memulihkan daripada sandaran yang disahkan atau kembali ke titik sebelumnya . Tambahan pula, adalah dinasihatkan untuk menyemak semula pengajaran yang dipelajari secara berkala untuk menambah baik proses penampalan dan pengerasan sistem.

Keseluruhan sejarah kegagalan dan tampalan sekitar Windows GDI ini menonjolkan betapa rapuhnya komponen legasi apabila tiada strategi keselamatan dan kemas kini berlapis yang mantap; memahami bagaimana kelemahan ini dieksploitasi, versi mana yang berisiko dan kawalan tambahan yang boleh digunakan membolehkan pentadbir dan profesional keselamatan siber mengukuhkan sistem mereka dan mencegah imej mudah atau metafail yang dibuat khas daripada ranap atau menjejaskan infrastruktur Windows sepenuhnya.