Uzak saldırganların kod yürütmesine olanak tanıyan, CVE-2023-38146 olarak izlenen bir Windows Temaları güvenlik açığı için kavram kanıtı yararlanma kodu yayımlandı.
Güvenlik sorunu ThemeBleed olarak da anılıyor ve 8,8 gibi yüksek önem puanı aldı. Hedef kullanıcının, saldırgan tarafından hazırlanmış kötü amaçlı bir .THEME dosyasını açması durumunda bu durumdan yararlanılabilir.
Yararlanma kodu, güvenlik açığını 15 Mayıs’ta Microsoft’a bildiren ve hata için 5.000 dolar alan araştırmacılardan biri olan Gabe Kirkpatrick tarafından yayımlandı.
Microsoft, iki gün önce Salı günü Eylül 2023 Yaması’nda CVE-2023-38146’yı ele aldı.
Tema Kanaması ayrıntıları
Kirkpatrick bu güvenlik açığını “tuhaf Windows dosya formatlarına” bakarken buldu; bunlardan biri, işletim sisteminin görünümünü özelleştirmek için kullanılan dosyalara yönelik .THEME’dir.
Bu dosyalar, kod içermemesi gereken ‘.msstyles’ dosyalarına referanslar içerir; yalnızca onları çağıran tema dosyası açıldığında yüklenen grafik kaynakları içerir.
Araştırmacı, “999” sürüm numarası kullanıldığında, .MSSTYLES dosyasını işleme rutininin, bir DLL’nin (“_vrf.dll”) imzasının doğrulandığı zaman ile kitaplığın yüklenip bir yarış oluşturduğu zaman arasında büyük bir tutarsızlık içerdiğini fark etti. durum.
Saldırgan, özel hazırlanmış bir .MSSTYLES kullanarak, doğrulanmış bir DLL dosyasını kötü amaçlı bir DLL dosyasıyla değiştirmek için bir yarış penceresinden yararlanabilir ve böylece hedef makinede rasgele kod çalıştırmasına olanak tanıyabilir.
Kirkpatrick, kullanıcı bir tema dosyasını başlattığında Windows Hesap Makinesi’ni açan bir PoC açığı oluşturdu.
Araştırmacı ayrıca web’den bir tema dosyası indirmenin, kullanıcıyı tehdit konusunda uyarabilecek ‘web işareti’ uyarısını tetiklediğini de belirtiyor. Ancak saldırganın temayı bir CAB arşivi olan .THEMEPACK dosyasına sarması durumunda bu durum atlanabilir.
CAB dosyasını başlatırken, içerdiği tema web işareti uyarısını sunmadan otomatik olarak açılır.
Microsoft, “sürüm 999” işlevini tamamen kaldırarak sorunu çözdü. Ancak Kirkpatrick, altta yatan yarış durumunun devam ettiğini söylüyor. Ayrıca Microsoft, tema paketi dosyaları için web işareti uyarılarının bulunmaması sorununu da gidermedi.
Windows kullanıcılarının Microsoft’un Eylül 2023 güvenlik güncelleştirme paketini mümkün olan en kısa sürede uygulamaları önerilir; çünkü bu paket, aktif olarak istismar edilen iki sıfır gün güvenlik açığını ve çeşitli uygulama ve sistem bileşenlerindeki diğer 57 güvenlik sorununu giderir.