微軟：“白屏死機”不算漏洞

近日，CyberArk安全研究員Eviatar Gerzi發現Windows終端和基于Chrome的網頁瀏覽器上存在多個高危DoS（拒絕服務）漏洞。

Gerzi在2003年的一個通過修改窗口標題執行代碼的舊安全公告（https://marc.info/?l=bugtraq&m=104612710031920&q=p3）嘗試了各種潛在的濫用途徑，并發現了一種在PuTTY上誘導快速窗口標題更改的方法。

這種非典型的攻擊方式導致測試設備進入一種被稱為“白屏死機”的狀態，除了鼠標光標外，屏幕上所有的應用程序界面都凍結了（失去響應）。

研究人員對存在類似漏洞的本地應用程序的實施攻擊后，導致程序調用過多的操作系統內核，系統立即進入白屏死機狀態。

被濫用的函數是“SetWindowText”，可用于更改指定窗口標題欄的文本。

需要注意的是，這個簡單的攻擊技巧可以導致大量“無辜”應用程序也一并被拖入白屏死機狀態，而擺脫白屏死機狀態的唯一方法是重新啟動計算機。

研究人員還發現，“SetWindowText”并不是唯一導致白屏死機的手段，在其中一個案例中，研究人員測試了MobaXterm終端，令我驚訝的是它沒有使用SetWindowText函數來更改窗口標題，而是使用了一個名為GdipDrawString的函數。

在這種情況下，有趣的是GdipDrawString并沒有像SetWindowText那樣導致整個計算機失去響應。它只影響了最終崩潰的應用程序。

Gerzi確認以下Windows終端受到白屏死機漏洞的影響：

• PuTTY–CVE-2021-33500（凍結整個計算機），已在0.75版中修復
• MobaXterm–CVE-2021-28847（僅凍結應用程序），已在21.0預覽版3中修復
• MinTTY（和Cygwin）–CVE-2021-28848（凍結整個計算機），已在3.4.6版中修復
• Git–使用MinTTY，已在2.30.1版中修復
• ZOC–CVE-2021-32198（僅凍結應用程序），無修復
• XSHELL–CVE-2021-42095（凍結整個計算機），在版本7.0.0.76中修復

主流瀏覽器未能幸免

意識到幾乎所有的GUI圖形界面應用程序都使用SetWindowText函數，研究人員嘗試了針對Chrome等流行的網絡瀏覽器的攻擊。

研究人員創建了一個HTML文件，該文件會導致標題在無限循環中快速變化，從而迫使瀏覽器凍結。

結果Edge、Torch、Maxthon、Opera和Vivaldi等所有基于Chromium的主流瀏覽器，全部中招，失去響應，而Firefox和Internet Explorer雖然沒有癱瘓，但性能也受到了影響。

由于現代瀏覽器都是基于沙盒技術，因此濫用SetWindowText函數并不會影響到底層操作系統，讓整個系統白屏死機。但是，當研究者嘗試在虛擬機內進行瀏覽器攻擊時，會出現資源耗盡問題，導致虛擬化系統顯示“藍屏死機”。

廠商回應：不是漏洞

研究人員指出，除了實驗已經驗證的Windows終端模擬器和主流瀏覽器以外，任何使用SetWindowText或GdipDrawString函數的應用程序都可能受此攻擊影響。

有些應用例外，例如Slack。像Slack這樣的應用程序在函數調用上具有速率限制器，因此它們能夠抵御這種DoS攻擊。

Gerzi聯系了受影響的供應商并收到以下回復：

• Google：DoS問題被視為濫用或穩定性問題，而不是安全漏洞。注意：該問題在Mac上未觀察到，但在Linux上觀察到。我們再次審查了這個問題。我們無法在最新版本的WS16.1.2build-17966106和Chrome92.0.4515.131中重現崩潰。我們認為您觀察到的行為可能取決于所使用的chrome版本，因為我們沒有看到任何藍屏死機問題。因此，我們認為這不是漏洞。
• Vivaldi：這是Windows10的設計局限；它不限制應用程序內存的使用，并且在RAM用完時僅使用頁面文件（虛擬內存）。這導致響應較慢，因為此時必須從磁盤讀取。
• 微軟：我們的團隊能夠重現此問題，但它不符合我們通過立即安全更新提供服務的標準。雖然這構成了導致拒絕服務攻擊的條件，但這只能在本地觸發并且是資源耗盡的結果。攻擊者將無法觸發任何其他易受攻擊的條件或檢索對系統的其他攻擊有益的信息。我們將關閉此案例，但我們已向我們的開發團隊報告了該錯誤，他們可能會考慮在未來的Windows版本中解決此問題。

雖然谷歌和微軟都否認白屏死機是漏洞，但是安全研究人員指出，可以通過在遠程服務器上創建惡意文件并從在存在漏洞的終端中打開來遠程觸發攻擊。

（來源：@GoUpSec）