Lỗ hổng (CVE-2021-24093) được Microsoft vá vào ngày 9/2 trong bản cập nhật Patch Tuesday tháng 2. Lỗ hổng có điểm CVSS 8.8, nhưng Microsoft đánh giá lỗ hổng này có mức nghiêm trọng đối với tất cả các hệ điều hành bị ảnh hưởng gồm: Windows 10, Windows Server 2016, 2019 và Windows Server.

Theo Microsoft, lỗ hổng ảnh hưởng đến một thành phần đồ họa của Windows và có thể bị khai thác bằng cách đánh lừa người dùng truy cập đến một trang web lưu trữ tệp được thiết kế đặc biệt để khai thác lỗ hổng.

Trước khi bị công khai vào 24/2/2021, các nhà nghiên cứu của Google đã báo cáo lỗ hổng cho Microsoft vào cuối tháng 11/2020. Động thái này được thực hiện sau khoảng hai tuần khi Microsoft phát hành bản vá.

Dominik Röttsches và Mateusz Jurczyk, các nhà nghiên cứu báo cáo lỗ hổng mô tả: lỗ hổng định danh CVE-2021-24093 là lỗ hổng tràn bộ đệm dựa trên heap DirectWrite, liên quan đến việc xử lý phông chữ TrueType tự tạo đặc biệt. Tin tặc có thể kích hoạt tình trạng lỗi bộ nhớ để thực thi mã tùy ý trong ngữ cảnh của máy khách DirectWrite. DirectWrite là một API Windows được thiết kế để kết xuất văn bản chất lượng cao.

Các nhà nghiên cứu đã thử nghiệm cách khai thác trên Windows 10 được vá đầy đủ trong tất cả các trình duyệt chính. Ngoài chi tiết kỹ thuật, họ đã phát hành một PoC. Tuy nhiên, dựa trên đánh giá khả năng khai thác, Microsoft cho rằng lỗ hổng sẽ không bị khai thác trong thực tế.