Windows图形组件存在关键漏洞，可致攻击者通过单张图片夺取系统控制权

微软 Windows 图形组件中存在一个 严重的远程代码执行漏洞，攻击者可利用特制 JPEG 图像夺取系统控制权。

该漏洞的 CVSS 评分为 9.8，对全球 Windows 用户构成严重威胁，因其 无需用户交互即可被利用。

该漏洞于2025年5月被发现，微软于2025年8月12日发布补丁修复。问题源于 windowscodecs.dll 库中的不可信指针解引用，影响核心图像处理功能。

攻击者可将恶意 JPEG 嵌入 Microsoft Office 文档等日常文件中，当文件被打开或预览时即可 静默攻陷系统。

此漏洞凸显了传统图形处理中的持续风险：看似无害的图像解码操作可能导致 完全的系统接管。由于 Windows 驱动着数十亿设备，未打补丁的系统仍极易遭受钓鱼攻击或无交互下载攻击。

漏洞发现与技术细节

Zscaler ThreatLabz 通过对 Windows 成像组件的定向模糊测试发现了该漏洞，重点关注 windowscodecs.dll 中的 JPEG 编码和解码路径。

漏洞利用的入口点位于 GpReadOnlyMemoryStream::InitFile 函数，攻击者可通过操纵缓冲区大小控制文件映射期间的内存快照。

模糊测试显示，在 jpeg_finish_compress+0xcc 处解引用未初始化指针会触发崩溃，通过堆喷射可暴露用户可控数据。

WinDbg 分析的堆栈跟踪指向 CJpegTurboFrameEncode::HrWriteSource 和 CFrameEncodeBase::WriteSource 等关键函数，证实 JPEG 元数据编码过程中存在缺陷。

这种未初始化资源问题允许 无特权执行任意代码，使其可通过网络利用。微软确认该漏洞影响依赖图形组件自动渲染图像的应用程序。

受影响版本与补丁

该漏洞影响较新的 Windows 版本，尤其是使用易受攻击的 windowscodecs.dll 构建版本的系统。组织必须优先更新以降低风险，因为漏洞利用可能与其他攻击链结合，实现网络横向移动。

利用机制与概念验证

利用 CVE-2025-50165 需要构造在解码时触发指针解引用的 JPEG，通常通过 Office 或第三方应用中的嵌入文件实现。

对于 64 位系统，攻击者通过在大小为 0x3ef7 的堆块中构建面向返回的编程（ROP）链 绕过控制流保护（CFG）。这通过 VirtualAlloc 创建读-写-执行内存并加载 shellcode，实现持久化访问。

Zscaler 的概念验证通过示例应用演示堆操纵：分配、释放和处理 Base64 编码的 JPEG，最终实现 RIP 控制。

尽管尚未报告野外利用案例，但 低复杂度和广泛网络覆盖 使其成为勒索软件或间谍活动的主要目标。32 位版本默认禁用 CFG，降低了对旧系统的攻击难度。

用户应立即通过 Windows Update 应用 2025年8月补丁星期二更新，优先针对高价值资产。禁用邮件客户端中的自动图像预览，并对不可信文件实施沙箱隔离。Zscaler 已部署基于云的防护措施以阻止漏洞利用尝试。

此事件凸显了企业环境中未打补丁图形库的危险——JPEG 在工作流中无处不在。

随着威胁行为者不断演变战术，及时打补丁仍是抵御此类“像素级毒药”的最强防御。目前尚未观察到主动利用，主动措施可防止大规模损害。