- Windows GDI kopiči ranljivosti pri razkrivanju informacij, zavrnitvi storitve in oddaljenem izvajanju kode, ki vplivajo na več različic sistema Windows in Windows Server.
- Številne od teh ranljivosti se izkoriščajo prek datotek EMF/WMF ali popačene grafične vsebine, ki jo obdelujeta gdi32.dll in win32k.sys, kar lahko povzroči BSOD-je ali puščanje pomnilnika.
- Microsoft izdaja popravke v kumulativnih paketih s spremembami binarnih datotek, kot je gdi32.dll, in zagotavlja zgoščene vrednosti in informacije o datotekah za preverjanje uspešne namestitve.
- Kombinacija agilnega nameščanja popravkov, segmentacije omrežja, omejevanja nevarnih grafičnih formatov in spremljanja z EDR je ključna za zmanjšanje tveganja, povezanega z GDI.
Grafični uporabniški vmesnik sistema Windows (GDI) že desetletja upodablja okna, besedilo, ikone in slike, ne da bi se večina uporabnikov tega sploh zavedala. Vendar pa je bila ta temeljna sistemska komponenta tudi vir več pomembnih varnostnih ranljivosti, nekaterih izkoriščanj ničelnega dne in drugih, ki so bile odpravljene v obsežnih posodobitvah za Microsoft. Ko GDI odpove, se ne sesuje le aplikacija: v nekaterih primerih lahko to povzroči uhajanje podatkov, oddaljeno izvajanje kode ali modre zaslone smrti (BSOD), ki sesujejo celotne strežnike.
V naslednjih vrsticah je podrobno opisano, kako deluje GDI, katere specifične ranljivosti so bile dokumentirane v zadnjih letih (kot so CVE-2017-11816, CVE-2020-1435 ali CVE-2023-36884 ), kako se izkoriščajo , kakšen dejanski vpliv imajo na domača in poslovna okolja ter katere praktične ukrepe lahko skrbniki in strokovnjaki za kibernetsko varnost uporabijo za zaščito svojih sistemov Windows, od starejših različic, kot je Windows Vista SP2, do sodobnih izdaj sistema Windows 11 in Windows Server.
Kaj je Windows GDI in zakaj je tako občutljiv z vidika varnosti?
Vmesnik grafičnih naprav (GDI) je starejši API sistema Windows, ki je odgovoren za upravljanje vsega, kar je povezano z upodabljanjem grafike: od risanja črt in pravokotnikov do prikazovanja pisav, bitnih slik in slik na zaslonu ali v tiskalnikih. Aplikacije kličejo funkcije iz knjižnic, kot je gdi32.dll, za ustvarjanje kontekstov naprav (HDC), čopičev, peres, regij in drugih grafičnih objektov, ki jih v ozadju upravljajo podatkovne strukture, ki jih nadzoruje jedro.
Arhitektura GDI je razdeljena na uporabniški način in način jedra . V uporabniškem načinu DLL gdi32.dll in druge sorodne knjižnice prejemajo zahteve za risanje od aplikacij. Ti klici se posredujejo okenskemu podsistemu sistema Windows, ki deluje v načinu jedra prek datoteke win32k.sys. Ta del jedra dejansko manipulira s sistemskim pomnilnikom, preverja grafične objekte in jih pošilja strojni opremi. Vsaka nezadostna validacija kazalcev, velikosti ali indeksov na tej točki odpira vrata katastrofalnim napakam.
Za sledenje in ponovno uporabo virov sistem vzdržuje tabele objektov GDI . Vsak proces ima svojo tabelo, obstaja pa tudi globalna tabela za deljene objekte, kar poveča možnost poškodb, če pride do prelivanja medpomnilnika, dogodka dvojnega prostega pomnilnika ali neveljavne reference pomnilnika. Te vrste napak lahko povzročijo poškodbo pomnilnika jedra, tekmovalne pogoje, zrušitve sistema ali celo poljubno izvajanje kode v najbolj privilegiranem kontekstu sistema.
S prihodom sodobnejših API-jev (GDI+, Direct2D, DirectWrite in celo DirectComposition) je Microsoft zmanjšal uporabo GDI v novih aplikacijah, vendar je ekosistem stare programske opreme , ki se še vedno zanaša nanj, ogromen. Zaradi te zapuščine je GDI zelo privlačna površina za napade za raziskovalce in napadalce.
Zgodovinske ranljivosti: od razkritja informacij do ničelnega dne
Med najstarejšimi ranljivostmi, povezanimi z GDI, je dokumentirana ranljivost razkritja informacij, CVE-2017-11816 . V tem primeru je bila težava v tem, kako je GDI obravnaval določene objekte v pomnilniku, kar je zlonamernemu uporabniku omogočilo pridobivanje podatkov iz ciljnega sistema, ki ne bi smeli biti dostopni. Ni šlo za izvajanje kode, temveč za resno kršitev zaupnosti.
Ta ranljivost je prizadela različne izdaje sistema Windows in prisilila Microsoft k izdaji posebne varnostne posodobitve. Napaka je bila v notranjem ravnanju z grafičnimi strukturami, kjer podsistem ni pravilno počistil ali preveril določenih pomnilniških območij, preden jih je ponovno uporabil, kar je omogočilo branje preostalih informacij, ki pripadajo drugim procesom ali samemu operacijskemu sistemu.
Popravek je bil vključen v varnostno posodobitev, ki je bila vključena v redni cikel »Patch Tuesday« oktobra 2017. Microsoft je poleg opisa ranljivosti zagotovil obsežne tabele s seznamom prizadetih datotek in njihovih novejših različic: na primer različne različice datoteke gdi32.dll za platforme x86, x64 in IA-64 z datumi, kot je 8. september 2017, in različicami datotek, kot je 6.0.6002.24200. Ta podrobnost je skrbnikom omogočila, da potrdijo, da je bil popravek pravilno nameščen.
Kasneje so raziskovalci iz projekta Zero (Google) razkrili še eno ranljivost ničelnega dne, povezano z datoteko gdi32.dll v uporabniškem načinu . Tokrat je napaka vplivala na ravnanje z DIB-i (device-independent bitmapi), vdelanimi v registre EMF (Enhanced Metafile). Nepravilna manipulacija teh bitnih slik znotraj metadatotek je omogočila pridobivanje informacij iz procesnega pomnilnika, kar je neposredno vplivalo na zasebnost podatkov.
To ranljivost ničelnega dne je bilo mogoče reproducirati lokalno prek brskalnika Internet Explorer in oddaljeno prek storitve Office Online z odpiranjem dokumenta DOCX s posebej izdelano datoteko EMF. Seznam prizadetih različic je bil obsežen, od servisnega paketa SP2 za Windows Vista do sistema Windows 10 , vključno z različicami sistema Windows Server, kot sta 2012 R2 in 2016. Težava je postala javna po izteku standardnega 90-dnevnega obdobja Project Zero brez izdaje popravka, s čimer je ranljivost uradno postala praktična izkoriščanje ničelnega dne.
Medtem je Microsoft doživel opazen incident: notranja težava jim je za en mesec preprečila izdajo načrtovanega paketa popravkov Patch Tuesday, zaradi česar so bili popravki odloženi do naslednjega cikla. Takšne zamude podaljšujejo čas izpostavljenosti ranljivosti, ki so raziskovalni skupnosti že znane.
Nedavne kritične napake: BSOD, oddaljeno izvajanje in velike serije popravkov
Sčasoma so se ranljivosti v GDI razvile v resnejše scenarije. Posebej presenetljiv primer je ranljivost zavrnitve storitve, identificirana kot CVE-2023-36884 , ki prizadene različice sistema Windows 10 (začenši z različico 1607), Windows 11 ter Windows Server 2016, 2019 in 2022. Čeprav je bil identifikator povezan z različnimi komponentami, odvisno od biltena, tehnična analiza opisuje kritično napako v grafičnem podsistemu, ki lahko povzroči modre zaslone smrti (BSOD) pri obdelavi nepravilno oblikovanih grafičnih objektov.
Težava se nanaša na funkcijo NtGdiDdDeleteDeviceBitmap v datoteki win32k.sys . Pri obravnavi neveljavne grafične bitne slike ali naprave ranljiva koda pri kopiranju podatkov iz strukture naprave (npr. tipa DD_DEVICE_OEM) ne izvede temeljitega preverjanja meja medpomnilnika. Ta opustitev omogoča prepisovanje sosednjega pomnilnika v jedru, kar povzroči izjemo pri dostopu do pomnilnika (PAGE_FAULT_IN_NONPAGED_AREA, koda 0x00000050) in sproži modri zaslon smrti (BSOD) s kodami, kot je IRQL_NOT_LESS_OR_EQUAL ali podobno.
Tipičen tok izkoriščanja se začne z grafičnimi podatki, vdelanimi v omrežne protokole, kot sta SMB ali RDP, ali celo prek WebDAV ali storitev tiskanja. Poškodovana datoteka EMF potuje kot del oddaljenega dokumenta ali toka in ko aplikacija, kot je Office, Edge, pregledovalnik slik ali celo Raziskovalec, poskuša interpretirati njeno vsebino, se za obdelavo pokliče podsistem GDI. Rutina razčlenjevanja ne preveri pravilno določenih registrov objektov, kar omogoča dereferenciranje kazalca izven obsega in destabilizacijo pomnilnika jedra (zlasti nestranskega nabora).
Čeprav se vpliv, o katerem poročajo uradni bilteni, osredotoča na zavrnitev storitve (DoS) , so različni raziskovalci poudarili, da bi bilo z naprednejšimi tehnikami za izkoriščanje poškodb pomnilnika (na primer z napadom na kopico) mogoče zgraditi verige, ki vodijo do izvajanja kode v jedrnem načinu, podobno kot smo to opazili pri ranljivostih v drugih komponentah, kot je MSHTML (primer CVE-2021-40444).
Kritičnost GDI se je odrazila tudi v velikih valovih popravkov. Julija 2020 je Microsoft izdal obsežno posodobitev, ki je odpravila 123 ranljivosti v svojih izdelkih, od katerih jih je bilo 18 razvrščenih kot kritičnih. Med slednjimi je bila tudi CVE-2020-1435, ki je bila neposredno povezana s tem, kako GDI manipulira s predmeti v pomnilniku. Če bi napadalcu uspelo pretentati žrtev, da odpre posebej oblikovano vsebino (na primer z obiskom zlonamernega spletnega mesta), bi lahko sprožil oddaljeno izvajanje kode z enakimi privilegiji kot uporabnik.
V isti seriji se je pojavila ranljivost CVE-2020-1436, povezana z ravnanjem s posebej izdelanimi pisavami, in še posebej odmevna ranljivost CVE-2020-1350 , kritična ranljivost v strežniku DNS sistema Windows z zmožnostmi, podobnimi črvom, ki lahko širi zlonamerno programsko opremo brez interakcije uporabnika. Čeprav slednja ne vpliva na GDI, ponazarja kontekst: en sam paket popravkov je vseboval ranljivosti v omrežnih storitvah, hipervizorjih (več napak pri oddaljenem izvajanju v Hyper-V) in samem grafičnem vmesniku.
CVE-2020-1435 se nanaša predvsem na to, kako GDI obravnava grafične objekte v pomnilniku . Uspešna izkoriščanje bi napadalcu omogočilo namestitev programov, ogled, spreminjanje ali brisanje podatkov ter ustvarjanje uporabniških računov s polnimi pravicami. Tipičen vektor napada vključuje prevaro uporabnika, da obišče zlonamerno spletno mesto ali odpre datoteko, ki vsebuje grafične vire, namenjene izkoriščanju ranljivosti. To se ujema z zgodovinskim vzorcem GDI: vsaka vizualna vsebina, ki se zanaša na njegov mehanizem za upodabljanje, je lahko ranljivost, če sistem ni posodobljen.
V istem ciklu popravkov julija 2020 je bilo objavljenih tudi več kritičnih ranljivosti v Hyper-V (CVE-2020-1041, -1040, -1032, -1036, -1042 in -1043) , ki prikazujejo, kako lahko različne komponente sistema Windows (omrežje, virtualizacija, grafika) postanejo členi v isti verigi napadov, če organizacija ne vzdržuje strogega programa upravljanja popravkov.
Dejanski vpliv na sisteme Windows, prizadete različice in vektorje
Razpon različic, na katere vplivajo ranljivosti GDI, je širok. V primerih ničelnega dne, ki jih je dokumentiral Project Zero, je ranljivost v datoteki gdi32.dll prizadela sisteme Windows Vista SP2, Windows 7, Windows 8.1, Windows 10 in več izdaj sistema Windows Server (2012 R2, 2016 itd.). To pomeni, da bi lahko veliko število računalnikov, tako domačih kot poslovnih, postalo žrtev puščanja pomnilnika zgolj z odpiranjem dokumenta, brskanjem z Internet Explorerjem ali uporabo storitve Office Online.
V najnovejšem scenariju, osredotočenem na BSOD, je Microsoft potrdil, da analizirana ranljivost vpliva na Windows 10 od različice 1607 naprej, Windows 11 in Windows Server 2016/2019/2022 , vključno z izdajami Enterprise, Education in LTSC. Različice, ki niso več v razširjeni podpori, kot sta Windows 7 ali 8.1, niso zajete v uradnem popravku, vendar to ne pomeni, da so brez težav z GDI; preprosto pomeni, da ne prejemajo rednih popravkov.
Na operativni ravni lahko vpliv povzamemo v tri kategorije: razkritje informacij (branje pomnilnika, ki bi moral biti zaseben), zavrnitev storitve (ponavljajoči se BSOD-ji) in oddaljeno izvajanje kode . V poslovnih okoljih lahko BSOD na strežniku s kritičnimi vlogami (na primer strežnik za skupno rabo tiskanja ali gostitelj Hyper-V) sproži verižno reakcijo napak: prekinitev storitev tiskanja, nepričakovano zaustavitev virtualnih strojev, izguba podatkov v oddaljenih sejah in dolgi časi obnovitve.
Z omrežnega vidika je mogoče GDI izkoriščati prek protokolov, kot so SMB (vrata 445), RDP ali WebDAV, če katera koli storitev samodejno obdela prejete slike ali metadatoteke EMF/WMF. Lokalno je dovolj, da uporabnik odpre zlonamerno datoteko v aplikacijah, ki uporabljajo GDI, kot so Paint, WordPad, starejši pregledovalniki slik ali celo procesi, ki sodelujejo pri predogledu ikon in sličic v Raziskovalcu . Najpogostejše verige napadov združujejo lažno e-pošto z dokumentom DOCX ali PDF, ki vsebuje popačeno datoteko EMF.
V reguliranih organizacijah (finance, zdravstvo, javna uprava) imajo lahko incidenti, ki jih povzročijo nepopravljene ranljivosti, pravne in regulativne posledice. Modri zaslon smrti (BSOD), ki povzroči sesutje kritičnega sistema, se lahko šteje za varnostni dogodek, ki ogroža neprekinjenost storitev, kar lahko posledično sproži revizije in kazni, povezane z okviri, kot sta GDPR ali HIPAA. Poleg tega različna poročila o obveščevalnih podatkih o grožnjah pripisujejo izkoriščanje napak v grafičnih podsistemih skupinam APT, ki ciljajo na dragocene tarče v Aziji in Evropi.
Velja si zapomniti, da glede na splošne podatke iz panoge (na primer tiste, ki so odraženi v letnih poročilih o kršitvah podatkov) znaten odstotek naprav Windows ostane nepopravljen več kot 90 dni po izdaji kritičnih posodobitev. To napadalcem pušča široko paleto možnosti za avtomatizacijo izkoriščanja in njihovo integracijo v ogrodja, kot sta Metasploit ali Cobalt Strike, ki lahko skenirajo celotna omrežna območja za ranljive gostitelje.
Kako Microsoft distribuira popravke in katera datoteka se spremeni
Ko se v GDI odkrije ranljivost, Microsoft izda varnostno posodobitev, ki je običajno združena v mesečne pakete. Te posodobitve se običajno dostavijo prek storitve Windows Update , kataloga Microsoft Update ali orodij za upravljanje, kot sta Windows Server Update Services (WSUS) in Microsoft Endpoint Configuration Manager (MECM). V primeru ranljivosti CVE-2017-11816 je mogoče ustrezno posodobitev (na primer KB4042121 za Windows Server 2008) pridobiti prek storitve Windows Update ali kataloga kot samostojno datoteko .msu.
Ena posebnost, ki jo Microsoft poudarja, je, da če so jezikovni paketi nameščeni po namestitvi posodobitve , je treba varnostni popravek znova namestiti. Zato je vedno priporočljivo, da najprej namestite potrebne jezike in šele nato posodobitve. Ta podrobnost, ki se morda zdi manjša, je privedla do več primerov, ko je bil sistem zmotno prepričan, da je zakrpan, čeprav v resnici nekatere binarne datoteke GDI niso vsebovale popravljene različice.
V dokumentaciji, povezani s temi bilteni, Microsoft ponuja obsežne tabele z informacijami o datotekah : ime (na primer gdi32.dll), specifična različica, velikost, datum, čas in platforma (x86, x64, IA-64). Te tabele omogočajo skrbnikom in revizorjem, da forenzično preverijo, ali je nameščena pravilna binarna datoteka. Podoben postopek se uporablja za pakete .msu in .exe različnih izdaj sistema Windows in Office, kjer so navedene zgoščene vrednosti SHA1 in SHA256 vsake datoteke, da lahko ekipe preverijo njihovo integriteto.
Seznam datotek in zgoščevalnih vrednosti je ogromen: od Windows6.0-KB2834886-x86.msu in njegovih različic x64 in ia64, prek Windows6.1-KB2835364-x64.msu, Windows8-RT-KB2835361-x86.msu, številnih namestitvenih programov za Windows Server 2003 in Windows XP v vseh mogočih jezikih (CHS, CHT, DEU, ESN, FRA, ITA, JPN, KOR, PTB, PTG, RUS itd.), do popravkov za komponente Officea in Lynca, kot so AttendeeAdmin.msp, ogl2007-kb2687309-fullfile-x86-glb.exe ali lyncloc2013-kb2817465-fullfile-x64-glb.exe. Vsaka od njih vključuje lastne zgoščene vrednosti SHA1 in SHA256 za lažje preverjanje.
V vseh teh primerih je končni cilj enak: posodobiti datoteko gdi32.dll (ali povezane binarne datoteke grafičnega podsistema) na varno različico. Na platformah, kot je na primer Windows Server 2008, je gdi32.dll navedena kot različica 6.0.6002.24200, z velikostmi, ki se razlikujejo glede na arhitekturo (približno 299.520 bajtov na x86, 391.680 bajtov na x64 in 955.392 bajtov na IA-64). Te vrednosti, skupaj z datumom gradnje, so osnovna referenca za ugotavljanje, ali je v sistemu nameščen popravek.
Uradna dokumentacija se sklicuje tudi na članke zbirke znanja s podrobnostmi o izvajanju in uvajanju teh posodobitev ter povezave do virov podpore: strani s pomočjo za Windows Update, varnostni portali za IT-strokovnjake (kot je TechNet Security), mednarodna spletna mesta za podporo in posebne storitve za boj proti zlonamerni programski opremi pod blagovno znamko Microsoft Secure.
Dobre prakse za blaženje, spremljanje in odzivanje
Poleg nameščanja popravkov takoj, ko so na voljo, obstaja več ukrepov za ublažitev in obrambo v globino , ki pomagajo zmanjšati tveganje, povezano z napakami GDI, zlasti v poslovnih okoljih s stotinami ali tisoči računalnikov.
Najprej je priporočljivo omejiti površino napada tako, da onemogočite ali omejite samodejno obdelavo določenih grafičnih formatov v aplikacijah in brskalnikih. Na primer, v brskalniku Microsoft Edge lahko konfigurirate skupinske pravilnike za blokiranje ali nadzor prenosa in obdelave metadatotek EMF/WMF z uporabo registrskih ključev v HKLM\SOFTWARE\Policies\Microsoft\Edge, povezanih z omejitvami prenosa. V drugih aplikacijah lahko uporabite možnosti konfiguracije, da preprečite samodejni predogled dokumentov z nezaupanja vrednih lokacij, in uporabite vodnike za odpravljanje težav, da odpravite neodzivnost Raziskovalca.
Druga bistvena plast je segmentacija omrežja v skladu z načeli ničelnega zaupanja . To vključuje omejevanje prometa protokolov SMB, RDP in drugih potencialno izkoriščevalnih protokolov le na nujno potrebna podomrežja, implementacijo požarnih zidov naslednje generacije s poglobljenim pregledom paketov in uveljavljanje pravil, ki temeljijo na identiteti in kontekstu. Z omejevanjem, katere naprave lahko komunicirajo s katerimi storitvami, se vpliv izkoriščanja, ki se poskuša širiti lateralno, drastično zmanjša.
Na strani zaznavanja uporaba rešitev za zaznavanje in odzivanje na končne točke (EDR), kot je Microsoft Defender for Endpoint, pomaga spremljati nenavadno vedenje, povezano z dogodki win32k.sys, gdi32.dll in BSOD . Konfiguriranje opozoril za porast napak modrega zaslona (na primer, začenši z ID-jem dogodka 1001 v pregledovalniku dogodkov) in nenavaden dostop do grafičnega podsistema lahko pomaga prepoznati poskuse izkoriščanja ali nestabilnosti, ki jih povzroča zlonamerna programska oprema.
Za upravljanje popravkov je zelo priporočljivo avtomatizirati uvajanje z uporabo storitve Windows Update for Business, WSUS ali MECM, vendar vedno vključiti fazo testiranja v pripravljalnih okoljih za odkrivanje morebitnih regresij pred objavo. V infrastrukturah z odprto režo je priporočljivo pregledati vse dohodne datoteke z orodji, kot so pravila YARA, zasnovana za prepoznavanje sumljivih vzorcev v EMF/WMF in drugih grafičnih oblikah.
V naprednejših scenarijih nekatere organizacije razmišljajo o selitvi svojih internih aplikacij na sodobnejše API-je, kot so Direct2D, DirectWrite ali grafični mehanizmi za več platform (Cairo, Skia), ki ponujajo boljšo izolacijo in manjšo odvisnost od starejšega GDI-ja. Srednjeročno bi lahko Microsoft v prihodnjih različicah sistema Windows opustil pomembne dele GDI-ja, da bi zmanjšal površino za napade, čeprav bo združljivost s starejšo programsko opremo ostala izziv.
Z vidika forenzike in obratnega inženiringa orodja, kot so WinDbg, KD in Volatility, omogočajo analizo pomnilniških izpisov po BSOD (modrem zaslonu smrti) in opazovanje poškodb v pomnilniku z oznako »Gdi« znotraj pomnilniškega bazena jedra. Izkoriščanje koncepta, objavljeno v raziskovalne namene, prikazuje, kako lahko EMF (datoteka pomnilnika mehanizma) z določenimi nepravilno oblikovanimi registri (npr. v EMR_HEADER) povzroči tekmovalno stanje in sproži zrušitev. To znanje je ključnega pomena za ekipe za odzivanje na incidente, da lahko rekonstruirajo, kaj se je zgodilo v resničnem napadu.
V primeru incidenta je priporočljivo slediti okvirom ukrepov, kot je NIST (Identify, Contain, Eradicate, Recover). To vključuje izolacijo prizadetih sistemov , ohranjanje dokazov (izpisi pomnilnika, dnevniki, vzorci sumljivih datotek), nameščanje čakajočih popravkov, skeniranje sistemov s posodobljenimi orodji za zaščito pred zlonamerno programsko opremo in obnovitev iz preverjenih varnostnih kopij ali vrnitev na prejšnjo točko . Poleg tega je priporočljivo redno pregledovati pridobljene izkušnje za izboljšanje postopkov nameščanja popravkov in utrjevanja sistema.
Celotna zgodovina napak in popravkov, povezanih z Windows GDI, poudarja, kako krhke so lahko starejše komponente, če ni robustne večplastne strategije varnosti in posodabljanja; razumevanje, kako se te ranljivosti izkoriščajo, katere različice so ogrožene in katere dodatne kontrole je mogoče uporabiti, omogoča skrbnikom in strokovnjakom za kibernetsko varnost, da okrepijo svoje sisteme in preprečijo, da bi se preprosta slika ali posebej izdelana metadatoteka zrušila ali popolnoma ogrozila infrastrukturo sistema Windows.
