Google heeft het afgelopen jaar 16 beveiligingslekken in de Windows-kernel ontdekt waarvoor het een techniek genaamd fuzzing gebruikte. De kwetsbaarheden deden zich voor bij het verwerken van TrueType- en OpenTypefonts en konden een aanvaller in het ergste geval de computer laten overnemen.

Het openen van een document of een website met een speciaal geprepareerd font was hiervoor voldoende en liet een aanvaller op afstand willekeurige code op het systeem uitvoeren, zoals het installeren van malware. Om de problemen te vinden maakte Google gebruik van fuzzing. Hierbij wordt een programma of een stuk software met allerlei datastromen bestookt, wat vervolgens tot crashes of fouten kan leiden. Die crashes kunnen vervolgens op onbekende beveiligingslekken wijzen. Fuzzing wordt door allerlei bedrijven gebruikt om kwetsbaarheden in de eigen software op te sporen.

Google laat weten dat fonts een zeer grote aanvalsvector zijn en er een aantal verschillende bestandsformaten bij komt kijken. "Deze bestandsformaten zijn zeer complex, zowel structureel als semantisch. Dit heeft weer als gevolg dat ze zeer lastig te implementeren zijn", aldus Mateusz Jurczyk van Google. Een aanvaller kan van eventuele implementatiefouten gebruikmaken. Daarnaast zijn font-bestanden ook via allerlei kanalen aan te leveren, zoals documenten, websites en spoolbestanden. Er is dan ook weinig interactie van gebruikers vereist om te worden aangevallen.

Microsoft heeft de afgelopen jaren tientallen updates voor fontproblemen in Windows uitgebracht. Daarnaast zijn er ook verschillende zero day-aanvallen geweest waarbij fontlekken werden gebruikt, zoals bijvoorbeeld door de geavanceerde Duqu-malware. Volgens Google was het gezien deze situatie belangrijk om de problemen op een meer algemeen niveau aan te pakken. "De huidige implementaties zullen namelijk niet snel verdwijnen", stelt Jurczyk. Om het aantal fontlekken te verkleinen is Google daarom al enkele jaren bezig met eigen onderzoek.

Vorig jaar besloot het ook naar fontlekken in Windows te kijken. Iets wat een stuk lastiger bleek te zijn, aangezien de broncode niet open source is. Begin vorig jaar leverde dit al 8 kwetsbaarheden in de Windows-kernel op. In mei 2015 werd besloten om via fuzzing naar fontkwetsbaarheden te zoeken. Dit resulteerde uiteindelijk in 16 beveiligingslekken. Twee kwetsbaarheden daarvan waren ook al door andere onderzoekers ontdekt. "De resultaten laten zien dat fuzzing, wanneer goed gedaan, nog steeds een effectieve manier is om kwetsbaarheden te vinden, zelfs met theoretisch "volwassen" en uitgebreid geteste platformen", besluit Jurczyk.