- Windows GDI verzamelt kwetsbaarheden op het gebied van openbaarmaking van informatie, denial-of-service en uitvoering van externe code die van invloed zijn op meerdere versies van Windows en Windows Server.
- Veel van deze kwetsbaarheden worden misbruikt via EMF/WMF-bestanden of misvormde grafische inhoud die wordt verwerkt door gdi32.dll en win32k.sys, wat BSOD's of geheugenlekken kan veroorzaken.
- Microsoft brengt patches uit in cumulatieve pakketten met wijzigingen in binaire bestanden zoals gdi32.dll en biedt hashes en bestandsinformatie om een succesvolle installatie te verifiëren.
- De combinatie van flexibel patchen, netwerksegmentatie, beperking van gevaarlijke grafische formaten en monitoring met EDR is essentieel om de risico's die gepaard gaan met GDI te verkleinen.
De grafische gebruikersinterface (GDI) van Windows rendert al tientallen jaren vensters, tekst, pictogrammen en afbeeldingen zonder dat de meeste gebruikers het beseffen. Deze fundamentele systeemcomponent is echter ook de bron geweest van diverse ernstige beveiligingslekken, waaronder zero-day exploits en andere die zijn verholpen met grote Microsoft-updates. Wanneer de GDI faalt, crasht niet alleen een applicatie: in sommige gevallen kan dit leiden tot datalekken, het uitvoeren van code op afstand of blauwe schermen (BSOD's) die complete servers platleggen.
De volgende alinea's beschrijven hoe GDI werkt, welke specifieke kwetsbaarheden de afgelopen jaren zijn gedocumenteerd (zoals CVE-2017-11816, CVE-2020-1435 of CVE-2023-36884 ), hoe deze worden misbruikt , welke daadwerkelijke impact ze hebben op thuis- en bedrijfsomgevingen, en welke praktische maatregelen beheerders en cybersecurityprofessionals kunnen nemen om hun Windows-systemen te beschermen, van oudere versies zoals Windows Vista SP2 tot moderne edities van Windows 11 en Windows Server.
Wat is Windows GDI en waarom is het zo gevoelig qua beveiliging?
Graphics Device Interface (GDI) is de verouderde Windows API die verantwoordelijk is voor alles wat met grafische weergave te maken heeft: van het tekenen van lijnen en rechthoeken tot het weergeven van lettertypen, bitmaps en afbeeldingen op het scherm of in printers. Applicaties roepen functies aan uit bibliotheken zoals gdi32.dll om apparaatcontexten (HDC's), penselen, pennen, regio's en andere grafische objecten te creëren, die intern worden beheerd door kernelgestuurde datastructuren.
De GDI-architectuur is verdeeld in een gebruikersmodus en een kernelmodus . In de gebruikersmodus ontvangen de gdi32.dll DLL en andere gerelateerde bibliotheken tekenverzoeken van applicaties. Deze verzoeken worden doorgegeven aan het Windows-venstersubsysteem, dat in de kernelmodus draait via win32k.sys. Dit kernelgedeelte is verantwoordelijk voor het daadwerkelijk manipuleren van het systeemgeheugen, het valideren van grafische objecten en het verzenden ervan naar de hardware. Onvoldoende validatie van pointers, groottes of indexen op dit punt kan leiden tot catastrofale fouten.
Om resources te volgen en te hergebruiken, onderhoudt het systeem GDI-objecttabellen . Elk proces heeft zijn eigen tabel, maar er is ook een globale tabel voor gedeelde objecten. Dit verhoogt de kans op corruptie als er een bufferoverloop, een dubbele vrijgave of een ongeldige geheugenreferentie optreedt. Dit soort fouten kan leiden tot corruptie van het kernelgeheugen, raceomstandigheden, systeemcrashes of zelfs het uitvoeren van willekeurige code in de meest geprivilegieerde context van het systeem.
Met de komst van modernere API's (GDI+, Direct2D, DirectWrite en zelfs DirectComposition) heeft Microsoft het gebruik van GDI in nieuwe applicaties verminderd, maar het ecosysteem van legacy-software dat er nog steeds op vertrouwt, is enorm. Deze legacy maakt GDI een zeer aantrekkelijk doelwit voor onderzoekers en aanvallers.
Historische kwetsbaarheden: van openbaarmaking van informatie tot dag nul
Een van de oudste kwetsbaarheden die aan GDI zijn gekoppeld, is een gedocumenteerde kwetsbaarheid voor het openbaar maken van informatie, CVE-2017-11816 . In dit geval lag het probleem in de manier waarop GDI bepaalde objecten in het geheugen verwerkte, waardoor een kwaadwillende gebruiker gegevens van het doelsysteem kon ophalen die niet toegankelijk zouden mogen zijn. Het ging niet om het uitvoeren van code, maar om een ernstige schending van de vertrouwelijkheid.
Deze kwetsbaarheid trof verschillende versies van Windows en dwong Microsoft tot het uitbrengen van een specifieke beveiligingsupdate. De fout zat in de interne verwerking van grafische structuren, waarbij het subsysteem bepaalde geheugengebieden niet correct wist of valideerde voordat ze opnieuw werden gebruikt. Hierdoor was het mogelijk om resterende informatie van andere processen of het besturingssysteem zelf uit te lezen.
De oplossing werd geleverd in een beveiligingsupdate die deel uitmaakte van de reguliere "Patch Tuesday"-cyclus in oktober 2017. Naast de beschrijving van de kwetsbaarheid leverde Microsoft uitgebreide tabellen met de getroffen bestanden en hun nieuwere versies: bijvoorbeeld verschillende builds van gdi32.dll voor x86-, x64- en IA-64-platforms, met datums zoals 8 september 2017 en bestandsversies zoals 6.0.6002.24200. Deze details stelden beheerders in staat te controleren of de patch correct was toegepast.
Later onthulden onderzoekers van Project Zero (Google) een andere zero-day kwetsbaarheid met betrekking tot gdi32.dll in de gebruikersmodus . Deze keer trof de kwetsbaarheid de verwerking van DIB's (Device Independent Bitmaps) die waren ingebed in EMF-registers (Enhanced Metafile). Onjuiste manipulatie van deze bitmaps binnen de metafiles maakte het mogelijk om informatie uit het procesgeheugen te extraheren, met directe gevolgen voor de gegevensprivacy.
Deze zero-day kwetsbaarheid kon lokaal worden gereproduceerd via Internet Explorer en op afstand via Office Online door een DOCX-document te openen met een speciaal geconstrueerde EMF (Exploitation Management Form). De lijst met getroffen versies was uitgebreid en omvatte Windows Vista Service Pack 2 tot en met Windows 10, inclusief Windows Server-versies zoals 2012 R2 en 2016. Het probleem kwam aan het licht nadat de standaard Project Zero-periode van 90 dagen was verlopen zonder dat er een patch was uitgebracht, waardoor de kwetsbaarheid officieel een praktische zero-day exploit werd.
Ondertussen ondervond Microsoft een opmerkelijk incident: een intern probleem verhinderde dat ze hun geplande Patch Tuesday- patchpakket een maand lang konden uitbrengen, waardoor de oplossingen werden uitgesteld tot de volgende cyclus. Dit soort vertragingen verlengt de periode waarin kwetsbaarheden die al bekend zijn bij de onderzoeksgemeenschap, blootgesteld blijven.
Recente kritieke bugs: BSOD, externe uitvoering en grote patchbatches
In de loop der tijd zijn de kwetsbaarheden in GDI geëvolueerd naar ernstiger scenario's. Een bijzonder opvallend voorbeeld is een denial-of-service-kwetsbaarheid met de identificatiecode CVE-2023-36884 , die van invloed is op versies van Windows 10 (vanaf 1607), Windows 11 en Windows Server 2016, 2019 en 2022. Hoewel de identificatiecode in de verschillende bulletins aan verschillende componenten is gekoppeld, beschrijft de technische analyse een kritieke fout in het grafische subsysteem die blauwe schermen (BSOD's) kan veroorzaken bij het verwerken van onjuist opgemaakte grafische objecten.
Het probleem betreft de functie NtGdiDdDeleteDeviceBitmap in win32k.sys . Bij het verwerken van een ongeldige grafische bitmap of apparaat voert de kwetsbare code geen grondige buffergrenscontrole uit bij het kopiëren van gegevens vanuit een apparaatstructuur (bijvoorbeeld van het type DD_DEVICE_OEM). Deze omissie zorgt ervoor dat aangrenzend geheugen in de kernel wordt overschreven, wat een geheugentoegangsfout (PAGE_FAULT_IN_NONPAGED_AREA, code 0x00000050) genereert en een blauw scherm (BSOD) veroorzaakt met codes zoals IRQL_NOT_LESS_OR_EQUAL of vergelijkbare fouten.
Het typische exploitatieproces begint met grafische gegevens die zijn ingebed in netwerkprotocollen zoals SMB of RDP, of zelfs via WebDAV of printservices. Een onjuist opgemaakt EMF-bestand wordt verzonden als onderdeel van een extern document of stream, en wanneer een applicatie zoals Office, Edge, een afbeeldingsviewer of zelfs Verkenner zelf de inhoud probeert te interpreteren, wordt het GDI-subsysteem aangeroepen om het te verwerken. De parseerroutine valideert bepaalde objectregisters niet correct, waardoor een pointer buiten het bereik kan worden gedereferentieerd en het kernelgeheugen (met name de niet-gepaginadeerde pool) wordt gedestabiliseerd.
Hoewel de impact die in officiële bulletins wordt gemeld zich richt op denial-of-service (DoS)-aanvallen , hebben verschillende onderzoekers erop gewezen dat het met geavanceerdere technieken voor het exploiteren van geheugenbeschadiging (bijvoorbeeld door de heap aan te vallen) mogelijk zou kunnen zijn om ketens te bouwen die leiden tot het uitvoeren van code in de kernelmodus, vergelijkbaar met wat is waargenomen bij kwetsbaarheden in andere componenten zoals MSHTML (het geval van CVE-2021-40444).
Het cruciale belang van GDI is ook terug te zien in de vele patches die zijn uitgebracht. In juli 2020 bracht Microsoft een omvangrijke update uit die 123 kwetsbaarheden in zijn producten verhielp, waarvan er 18 als kritiek werden geclassificeerd. Een van die kritieke kwetsbaarheden was CVE-2020-1435, die direct verband hield met de manier waarop GDI objecten in het geheugen manipuleert. Als een aanvaller erin slaagde een slachtoffer ertoe te verleiden speciaal geprepareerde inhoud te openen (bijvoorbeeld door een kwaadwillende website te bezoeken), kon dit leiden tot het uitvoeren van code op afstand met dezelfde privileges als de gebruiker.
In diezelfde batch verscheen CVE-2020-1436, gerelateerd aan de verwerking van speciaal ontworpen lettertypen, en de bijzonder spraakmakende CVE-2020-1350 , een kritieke kwetsbaarheid in de Windows DNS-server met wormachtige mogelijkheden, die malware kan verspreiden zonder tussenkomst van de gebruiker. Hoewel de laatste geen invloed heeft op GDI, illustreert het de context: één enkel patchpakket bevatte kwetsbaarheden in netwerkservices, hypervisors (verschillende kwetsbaarheden voor uitvoering op afstand in Hyper-V) en de grafische interface zelf.
CVE-2020-1435 heeft specifiek betrekking op de manier waarop GDI grafische objecten in het geheugen verwerkt . Een succesvolle aanval zou een aanvaller in staat stellen programma's te installeren, gegevens te bekijken, te wijzigen of te verwijderen, en gebruikersaccounts met volledige privileges aan te maken. De typische aanvalsvector bestaat uit het verleiden van de gebruiker om een kwaadwillende website te bezoeken of een bestand te openen dat grafische bronnen bevat die ontworpen zijn om de kwetsbaarheid te misbruiken. Dit past in het historische patroon van GDI: alle visuele content die afhankelijk is van de rendering-engine kan een kwetsbaarheid vormen als het systeem niet up-to-date is.
Tijdens dezelfde patchcyclus van juli 2020 werden ook verschillende kritieke kwetsbaarheden in Hyper-V aangekondigd (CVE-2020-1041, -1040, -1032, -1036, -1042 en -1043) . Dit laat zien hoe verschillende Windows-componenten (netwerk, virtualisatie, grafische kaart) schakels in dezelfde aanvalsketen kunnen vormen als een organisatie geen rigoureus patchbeheerprogramma hanteert.
Werkelijke impact op Windows-systemen, getroffen versies en vectoren
Het scala aan versies dat getroffen wordt door GDI-kwetsbaarheden is breed. In de zero-day-gevallen die door Project Zero zijn gedocumenteerd, trof de kwetsbaarheid in gdi32.dll Windows Vista SP2, Windows 7, Windows 8.1, Windows 10 en verschillende edities van Windows Server (2012 R2, 2016, enz.). Dit betekent dat een groot aantal computers, zowel thuis als op kantoor, het slachtoffer kan worden van geheugenlekken door simpelweg een document te openen, te browsen met Internet Explorer of Office Online te gebruiken.
In het meest recente scenario met betrekking tot BSOD's (Blue Screen of Death) heeft Microsoft bevestigd dat de geanalyseerde kwetsbaarheid Windows 10 vanaf versie 1607, Windows 11 en Windows Server 2016/2019/2022 treft , inclusief de Enterprise-, Education- en LTSC-edities. Versies die niet langer onder uitgebreide ondersteuning vallen, zoals Windows 7 of 8.1, worden niet gedekt door de officiële patch, maar dat betekent niet dat ze vrij zijn van GDI-problemen; het betekent alleen dat ze geen regelmatige updates ontvangen.
Op operationeel niveau kan de impact worden samengevat in drie categorieën: openbaarmaking van informatie (het uitlezen van geheugen dat privé zou moeten zijn), denial of service (terugkerende BSOD's) en uitvoering van code op afstand . In bedrijfsomgevingen kan een BSOD op een server met kritieke functies (bijvoorbeeld een gedeelde printserver of een Hyper-V-host) een kettingreactie van storingen veroorzaken: onderbreking van printservices, onverwachte afsluiting van virtuele machines, gegevensverlies in externe sessies en lange hersteltijden.
Vanuit een netwerkperspectief kan GDI worden misbruikt via protocollen zoals SMB (poort 445), RDP of WebDAV als een service automatisch ontvangen EMF/WMF-afbeeldingen of metafiles verwerkt. Lokaal hoeft een gebruiker alleen maar een kwaadaardig bestand te openen in toepassingen die GDI gebruiken, zoals Paint, WordPad, oudere afbeeldingsviewers of zelfs processen die betrokken zijn bij het bekijken van pictogrammen en miniaturen in Verkenner . De meest voorkomende aanvalsketens combineren een phishing-e-mail met een DOCX- of PDF-document dat een misvormd EMF-bestand bevat.
In gereguleerde organisaties (financiën, gezondheidszorg, overheidsadministratie) kunnen incidenten veroorzaakt door niet-gepatchte beveiligingslekken juridische en regelgevende gevolgen hebben. Een Blue Screen of Death (BSOD) die een kritiek systeem laat crashen, kan worden beschouwd als een beveiligingsincident dat de continuïteit van de dienstverlening in gevaar brengt. Dit kan leiden tot audits en sancties in verband met regelgeving zoals GDPR of HIPAA. Bovendien hebben diverse dreigingsrapporten de exploitatie van kwetsbaarheden in grafische subsystemen toegeschreven aan APT-groepen die zich richten op waardevolle doelwitten in Azië en Europa.
Het is belangrijk om te onthouden dat, volgens gangbare branchegegevens (bijvoorbeeld die in jaarlijkse datalekrapporten), een aanzienlijk percentage Windows-apparaten meer dan 90 dagen na de release van kritieke updates niet is gepatcht. Dit biedt aanvallers ruime mogelijkheden om exploits te automatiseren en te integreren in frameworks zoals Metasploit of Cobalt Strike, die in staat zijn om complete netwerken te scannen op kwetsbare hosts.
Hoe Microsoft oplossingen distribueert en welk bestand wordt gewijzigd
Wanneer een beveiligingslek in GDI wordt ontdekt, brengt Microsoft een beveiligingsupdate uit, meestal gebundeld in maandelijkse rollup-updates. Deze updates worden doorgaans geleverd via Windows Update , de Microsoft Update Catalog of beheertools zoals Windows Server Update Services (WSUS) en Microsoft Endpoint Configuration Manager (MECM). In het geval van de CVE-2017-11816-kwetsbaarheid kon de bijbehorende update (bijvoorbeeld KB4042121 voor Windows Server 2008) worden verkregen via Windows Update of de catalogus, als een afzonderlijk .msu-bestand.
Een bijzonderheid die Microsoft benadrukt, is dat als taalpakketten worden geïnstalleerd nadat de update is toegepast , de beveiligingspatch opnieuw moet worden geïnstalleerd. Daarom wordt altijd aangeraden om eerst de benodigde talen te installeren en daarna pas de updates. Dit detail, dat misschien onbelangrijk lijkt, heeft al meer dan eens geleid tot gevallen waarin ten onrechte werd aangenomen dat een systeem was gepatcht, terwijl bepaalde GDI-bestanden in werkelijkheid de gecorrigeerde versie niet bevatten.
In de documentatie met betrekking tot deze bulletins biedt Microsoft uitgebreide tabellen met bestandsinformatie : naam (bijvoorbeeld gdi32.dll), specifieke versie, grootte, datum, tijd en platform (x86, x64, IA-64). Deze tabellen stellen beheerders en auditors in staat om forensisch te controleren of het juiste binaire bestand is geïnstalleerd. Een vergelijkbaar proces wordt gebruikt voor de .msu- en .exe-pakketten van verschillende edities van Windows en Office, waarbij de SHA1- en SHA256-hashes van elk bestand worden vermeld, zodat teams de integriteit ervan kunnen controleren.
De lijst met bestanden en hashes is overweldigend: van Windows6.0-KB2834886-x86.msu en de x64- en ia64-varianten, via Windows6.1-KB2835364-x64.msu, Windows8-RT-KB2835361-x86.msu, tientallen installatieprogramma's voor Windows Server 2003 en Windows XP in allerlei talen (CHS, THT, DEU, ESN, FRA, ITA, JPN, KOR, PTB, PTG, RUS, enz.), tot patches voor Office- en Lync-componenten zoals AttendeeAdmin.msp, ogl2007-kb2687309-fullfile-x86-glb.exe of lyncloc2013-kb2817465-fullfile-x64-glb.exe. Elk van deze hashes bevat zijn eigen SHA1- en SHA256-hashfuncties om verificatie te vergemakkelijken.
In al deze gevallen is het uiteindelijke doel hetzelfde: het gdi32.dll-bestand (of de bijbehorende binaire bestanden van het grafische subsysteem) bijwerken naar de beveiligde versie. Op platforms zoals Windows Server 2008 wordt gdi32.dll bijvoorbeeld vermeld als versie 6.0.6002.24200, met groottes die variëren afhankelijk van de architectuur (ongeveer 299.520 bytes op x86, 391.680 bytes op x64 en 955.392 bytes op IA-64). Deze waarden, samen met de builddatum, vormen de basisreferentie om te bepalen of de patch op het systeem is toegepast.
De officiële documentatie verwijst ook naar Knowledge Base-artikelen met details over de implementatie en uitrol van deze updates, evenals links naar ondersteuningsbronnen: Windows Update-help pagina's, beveiligingsportalen voor IT-professionals (zoals TechNet Security), internationale ondersteuningssites en specifieke services voor het bestrijden van malware onder het Microsoft Secure-merk.
Goede praktijken voor mitigatie, monitoring en respons
Naast het installeren van patches zodra deze beschikbaar zijn, zijn er een aantal risicobeperkende maatregelen en gelaagde beveiligingsstrategieën die het risico van GDI-storingen helpen verminderen, met name in bedrijfsomgevingen met honderden of duizenden computers.
Ten eerste is het raadzaam om het aanvalsoppervlak te beperken door de automatische verwerking van bepaalde grafische formaten in toepassingen en browsers uit te schakelen of te beperken. In Microsoft Edge kunt u bijvoorbeeld groepsbeleid configureren om het downloaden en verwerken van EMF/WMF-metabestanden te blokkeren of te beheren met behulp van registersleutels onder HKLM\SOFTWARE\Policies\Microsoft\Edge die betrekking hebben op downloadbeperkingen. In andere toepassingen kunt u configuratieopties gebruiken om het automatisch bekijken van documenten van onbetrouwbare locaties te voorkomen en handleidingen voor probleemoplossing raadplegen om problemen met de niet-reagerende Verkenner op te lossen.
Een andere essentiële laag is netwerksegmentatie volgens de Zero Trust-principes . Dit houdt in dat SMB-, RDP- en ander potentieel kwetsbaar protocolverkeer wordt beperkt tot alleen de strikt noodzakelijke subnetten, dat next-generation firewalls met deep packet inspection worden geïmplementeerd en dat identiteits- en contextgebaseerde regels worden afgedwongen. Door te beperken welke apparaten met welke services kunnen communiceren, wordt de impact van een aanval die zich lateraal probeert te verspreiden drastisch verminderd.
Aan de detectiekant helpt de implementatie van Endpoint Detection and Response (EDR)-oplossingen, zoals Microsoft Defender for Endpoint, bij het monitoren van afwijkend gedrag met betrekking tot win32k.sys, gdi32.dll en BSOD-gebeurtenissen . Het configureren van waarschuwingen voor pieken in blauwe schermfouten (bijvoorbeeld beginnend met gebeurtenis-ID 1001 in de Logboeken) en ongebruikelijke toegang tot het grafische subsysteem kan helpen bij het identificeren van misbruikpogingen of instabiliteiten veroorzaakt door malware.
Voor patchbeheer wordt sterk aanbevolen om de implementatie te automatiseren met Windows Update voor Bedrijven, WSUS of MECM, maar altijd met een testfase in stagingomgevingen om potentiële regressies op te sporen voordat de patches live gaan. In geïsoleerde infrastructuren is het raadzaam om alle binnenkomende bestanden te controleren met tools zoals YARA-regels die zijn ontworpen om verdachte patronen in EMF/WMF en andere grafische formaten te herkennen.
In meer geavanceerde scenario's overwegen sommige organisaties hun interne applicaties te migreren naar modernere API's zoals Direct2D, DirectWrite of platformonafhankelijke grafische engines (Cairo, Skia), die betere isolatie bieden en minder afhankelijk zijn van de verouderde GDI. Op middellange termijn zou Microsoft belangrijke onderdelen van GDI in toekomstige Windows-versies kunnen uitfaseren om het aanvalsoppervlak te verkleinen, hoewel compatibiliteit met oudere software een uitdaging zal blijven.
Vanuit een forensisch en reverse-engineeringperspectief maken tools zoals WinDbg, KD en Volatility het mogelijk om geheugendumps na een BSOD (Blue Screen of Death) te ontleden en corruptie in geheugen met het label "Gdi" binnen de kernelgeheugenpool te observeren. Proof-of-concept exploits die voor onderzoeksdoeleinden zijn gepubliceerd, tonen aan hoe een EMF (Engine Memory File) met bepaalde misvormde registers (bijvoorbeeld in EMR_HEADER) een raceconditie kan veroorzaken en een crash kan teweegbrengen. Deze kennis is cruciaal voor incidentresponsteams om te reconstrueren wat er in een daadwerkelijke aanval is gebeurd.
In geval van een incident wordt aanbevolen om actieplannen zoals die van NIST (Identificeren, Inperken, Uitroeien, Herstellen) te volgen. Dit houdt in dat getroffen systemen worden geïsoleerd , bewijsmateriaal wordt bewaard (geheugendumps, logbestanden, voorbeelden van verdachte bestanden), openstaande patches worden geïmplementeerd, systemen worden gescand met bijgewerkte antimalwareprogramma's en systemen worden hersteld vanuit geverifieerde back-ups of naar een eerder herstelpunt . Daarnaast is het raadzaam om periodiek de opgedane lessen te evalueren om de patch- en beveiligingsprocessen van systemen te verbeteren.
Deze hele geschiedenis van mislukkingen en patches rondom Windows GDI laat zien hoe kwetsbaar verouderde componenten kunnen zijn als er geen robuuste, gelaagde beveiligings- en updatestrategie is. Inzicht in hoe deze kwetsbaarheden worden misbruikt, welke versies risico lopen en welke aanvullende maatregelen kunnen worden genomen, stelt beheerders en cybersecurityprofessionals in staat hun systemen te versterken en te voorkomen dat een simpele image of een speciaal ontworpen metafile een Windows-infrastructuur laat crashen of volledig compromitteren.
