Опубликован код эксплойта для проверки концепции уязвимости Windows Themes, отслеживаемой как CVE-2023-38146, которая позволяет удаленным злоумышленникам выполнять код.
Проблема безопасности также упоминается как me Bleed и получила высокую оценку серьезности - 8,8. Это может быть использовано, если целевой пользователь откроет вредоносное ПО, а именно, файл темы, созданный злоумышленником.
Код эксплойта был выпущен Гейбом Киркпатриком, одним из исследователей, который сообщил об уязвимости Microsoft 15 мая 2023 года и получил $5 тыс. за ошибку. Киркпатрик обнаружил уязвимость, просматривая странные форматы файлов Windows, одним из которых является тема для файлов, используемая для настройки внешнего вида операционной системы. Эти файлы содержат ссылки на файлы .msstyles, которые не должны содержать никакого кода, только графические ресурсы, которые загружаются при открытии файла темы, вызывающего их. Киркпатрик создал PoC-эксплойт, который открывает калькулятор Windows, когда пользователь запускает файл темы. Исследователь также отмечает, что загрузка файла темы из интернета запускает предупреждение mark-of-the-web, которое может предупредить пользователя об угрозе. Однако это можно было бы обойти, если злоумышленник обернет тему в файл THEMEPACK, представляющий собой CAB-архив.
Используя специально созданный файл .MSSTYLES, злоумышленник может использовать окно race для замены проверенной библиотеки DLL вредоносной, что позволяет ему запускать произвольный код на целевом компьютере.
Microsoft обратилась к CVE-2023-38146 два дня назад в сентябрьском обновлении 2023 года. Корпорация исправила проблему, полностью удалив функциональность версии 999. Пользователям Windows рекомендуется как можно скорее установить пакет обновлений для системы безопасности от сентября 2023 года, поскольку он устраняет две уязвимости нулевого дня, которые активно используются, и еще 57 проблем с безопасностью в различных приложениях и системных компонентах.
