Tìm ra lỗ hổng khiến máy tính Windows gặp lỗI "màn hình trắng chết chóc"

Nhà nghiên cứu bảo mật Eviatar Gerzi của hãng CyberArk vừa tìm ra những lỗ hổng DoS (từ chối dịch vụ) ở mức độ nghiêm trọng trên các terminal Windows và trình duyệt web nhân Chrome.

Thời gian vừa rồi, Eviatar Gerzi đã nghiên cứu các phương thức tấn công dựa trên câu chuyện cũ vào năm 2003 rằng có thể thực thi code thông qua chỉnh sửa tiêu đề cửa sổ. Cuối cùng, ông phát hiện ra rằng có thể tấn công bằng cách thay đổi tiêu đề cửa sổ một cách nhanh chóng trên PuTTY.

Kiểu tấn công này khiến cỗ máy thử nghiệm của Gerzi rơi vào trạng thái được gọi là "màn hình trắng chết chóc - white screen of death (WSOD)". Ở trạng thái ấy, mội thứ đều đóng băng ngoại trừ con trỏ chuột.

Khi thử kiểu tấn công tương tự vào một ứng dụng cục bộ, hệ thống rơi vào tình trạng WSOD ngay lập tức do lõi của hệ điều hành bị quá tải bởi các lệnh gọi.

Hàm bị lạm dụng có tên "SetWindowsText", cho phép chuyển đổi văn bản của thanh tiêu đề của cửa sổ được chỉnh định.

Cách duy nhất để thoát khỏi trạng thái WSOD là khởi động lại máy tính. Vì thế, cách tấn công này có thể được dùng để tạo ra trạng thái DoS trên một loạt ứng dụng.

Dẫu vậy, không chi có "SetWindowsText" là hàm bị lạm dụng. Với terminal MobaXterm thì hàm bị lạm dụng để gây lỗi lại là GdipDrawString. Tuy nhiên, hàm này chỉ gây lỗi cho ứng dụng chứ không ảnh hưởng tới toàn bộ máy tính như SetWindowsText.

Gerzi xác nhận các terminal Windows sau đây bị ảnh hưởng bởi vấn đề DoS:

• PuTTY - lỗ hổng CVE-2021-33500 (đóng băng toàn bộ máy tính), được sửa trong phiên bản 0.75.
• MobaXterm - lỗ hổng CVE-2021-28847 (chỉ đóng băng ứng dụng) được sửa trong phiên bản 21.0 preview 3.
• MinTTY (và Cygwin) - lỗ hổng CVE-2021-28848 (đóng băng toàn bộ máy tính), được sửa trong phiên bản 3.4.6.
• Git - sử dụng MinTTY, đã được sửa trong phiên bản 2.30.1
• ZOC - lỗ hổng CVE-2021-32198 (chỉ đóng băng ứng dụng), chưa có bản sửa lỗi.
• XSHELL - lỗ hổng CVE-2021-42095 (đóng băng toàn bộ máy tính), được sửa trong phiên bản 7.0.0.76.

Thử nghiệm trên trình duyệt web

Từ nhận thức rằng hầu hết các GUI ứng dụng đều sử dụng chức năng SetWindowsText nên Gerzi đã thử tấn công các trình duyệt web phổ biến như Chrome.

Ông tạo ra một tệp HTML có thể khiến tiêu đề thay đổi nhanh chóng lặp đi lặp lại vô hạn, buộc trình duyệt Chrome phải đóng băng. Các trình duyệt khác dùng nhân Chrominum như Edge, Torch, Maxthon, Opera và Vivaldi đều bị đóng băng. Mặc dù Firefox và Internet Explorer không gặp lỗi nhưng hiệu suất cũng bị ảnh hưởng.

Tuy vậy, trong mọi trường hợp, về cơ bản hệ điều hành không bị ảnh hưởng bởi các trình duyệt đều có cơ chế sandbox (hộp cát). Khi thử nghiệm tấn công trình duyệt bên trong máy ảo, phương thức này khiến hệ thống cạn kiệt tài nguyên dẫn tới lỗi màn hình xanh.

Phản hồi từ các hãng

Phía Google coi vấn đề mà Gerzi báo cáo chỉ là vấn đề lạm dụng hoặc liên quan tới tính ổn định chứ khong phải lỗ hổng bảo mật. Trong khi đó, Vivaldi lại đổ lỗi cho thiết kế của Windows 10, không giới hạn việc sử dụng bộ nhớ ứng dụng và chỉ dùng pagefile (bộ nhớ ảo) khi hết RAM.

Microsoft thì cho biết rằng họ có thể khắc phục vấn đề này nhưng nó chưa đủ tầm để được đưa vào lịch cập nhật bảo mật ngay lập tức. Microsoft chia sẻ thêm rằng vấn đề này chỉ có thể kích hoạt cục bộ nên kẻ tấn công sẽ phải tiếp xúc với máy tính. Hơn nữa, do bản chất của lỗi là gây cạn kiệt tài nguyên nên hacker sẽ chẳng kích hoạt được gì tiếp theo cũng như không khai thác được thông tin có lợi.

Đáp lại các tuyên bố trên, Gerzi cho biết hacker có thể kích hoạt cuộc tấn công từ xa bằng cách tạo ra một tệp mã độc trên máy chủ sau đó mở nó từ một terminal chưa vá lỗ hổng. Có thể hacker không thu được lợi lộc gì nhưng nếu làm treo máy tại các cơ quan, tập đoàn lớn vào đúng thời điểm quan trọng thì thiệt hại cũng rất đáng kể.