تحقیقات جدید نشان‌دهنده وجود یک آسیب‌پذیری از نوع Heap Overflow (CWE-122) در سرویس Print Spooler ویندوز است که می‌تواند منجر به ارتقاء سطح دسترسی (Privilege Escalation) به سطح SYSTEM شود.
جزئیات فنی آسیب‌پذیری
این باگ در مسیر پیمایش فرم‌ها (form-enumeration path) در سرویس Print Spooler رخ می‌دهد. زنجیره فراخوانی که منجر به این وضعیت می‌شود شامل مراحل زیر است:
InternalEnumFormsCopyIniFormToFormInfoPackStringsmemcpy
وضعیت اصلاح و پچ (Patch Status)
این آسیب‌پذیری در حال حاضر Unpatched (بدون وصله) است. با وجود گزارش به MSRC، مایکروسافت تصمیم گرفته است که نیاز به سرویس‌دهی فوری برای آن وجود ندارد، زیرا اجرای PoC (اثبات مفهوم) نیازمند دسترسی‌های مدیریتی (Administrative Rights) است. با این حال، این باگ در نسخه‌های mainstream و Canary ویندوز تایید شده است.
ویژگی‌های اکسپلویت
فرآیند اکسپلویت در چهار مرحله اصلی انجام می‌شود که باعث می‌شود سرویس دچار کرش (Crash) نشود و پایداری سیستم حفظ گردد:
- Groom: آماده‌سازی حافظه (Heap Grooming)
- Corrupt: تخریب حافظه
- Control: کنترل جریان اجرا
- Execute: اجرای کد
نکته مهم این است که پس از حمله، سرویس spoolsv.exe همچنان در حال اجرا باقی می‌ماند و ردپای حمله (فرم ایجاد شده) حذف می‌شود که این امر پایداری و پنهان‌کاری بالا در حمله را تضمین می‌کند.
