Dobësia në Microsoft Edge doli nga sandbox pa gabime në memorie
Një zinxhir dobësish në Microsoft Edge lejoi që një faqe keqdashëse në internet të dilte nga sandbox i shfletuesit dhe të ekzekutonte kod në një kompjuter Windows pa shfrytëzuar memory corruption. sandbox është kufiri izolues që synon të parandalojë kodin e faqeve të internetit të arrijë pjesën tjetër të pajisjes. Microsoft korrigjoi komponentët e prekur të Edge në maj dhe shfletuesit e përditësuar në versionin Stable 148.0.3967.70 nuk janë të cenueshëm ndaj këtij zinxhiri.
Një studiues i DEVCORE e demonstroi teknikën në Pwn2Own Berlin në maj, duke fituar 175,000 dollarë, dhe publikoi një përshkrim të hollësishëm më 28 tetor, pesë muaj më vonë. Microsoft publikoi korrigjimet më 15 maj, një ditë pas konkursit, dhe DEVCORE tha se reagimi zgjati më pak se 24 orë nga raportimi i dobësive. Ky ishte një demonstrim në kuadër të një konkursi dhe jo një sulm i njohur në botën reale. Regjistrat publikë të CVE nuk raportojnë asnjë shfrytëzim dhe nuk ka prova se zinxhiri është përdorur kundër përdoruesve.
Veçoria e pazakontë e kërkimit është se ai nuk varej nga memory corruption, e cila ndodh kur software keqadministron të dhënat në memorie dhe ndonjëherë mund të detyrohet të ekzekutojë udhëzime të padëshiruara. Në vend të kësaj, exploit kombinoi gabime në rregullat që drejtojnë veçori legjitime të Edge dhe Windows. Studiuesi tha se exploit përfundimtar përmbante më pak se 100 rreshta kodi, megjithëse identifikimi dhe bashkimi i dobësive të nevojshme kërkoi rreth dy muaj punë manuale pa ndihmën e inteligjencës artificiale.
Faza e parë krijoi universal cross-site scripting (UXSS), një dobësi në nivel shfletuesi që lejon JavaScript të ekzekutohet në kontekstin e faqeve të tjera të internetit. Ajo gjithashtu anashkaloi Content Security Policy (CSP), një rregull i faqes së internetit që kufizon se cilat script dhe burime të tjera mund të ngarkojë një faqe. Meqë navigimi nisej nga një proces i Edge dhe jo nga një faqe e zakonshme interneti, teknika mund të prekte faqe si google.com, të cilat një dobësi e zakonshme e script-eve të faqeve të internetit nuk mund t'i arrinte. DEVCORE e përshkroi këtë sjellje si një attack surface më të gjerë dhe jo si një gabim të izoluar të një faqeje interneti.
Zinxhiri filloi me një komponent të Edge që përdoret për hyrjet në llogaritë e biznesit, të quajtur conditional access navigation throttle. Aktivizimi i tij bëri që procesi i shfletuesit të fillonte një navigim që nuk lidhej më me faqen që e kishte kërkuar. Edge më pas e lidhi atë navigim me cilëndo skedë të shfletuesit që ishte aktive. Kjo mospërputhje i dha sulmuesit aftësinë UXSS.
Katër dobësi të tjera bënë që procesi të funksiononte pa kërkuar një klikim. Edge u përpoq të verifikonte se kërkesa vinte nga një faqe e besuar e Microsoft, por studiuesi e anashkaloi atë kontroll duke e nisur kërkesën përmes një dritareje të dytë. Një bllokues i dritareve popup duhej ta kishte parandaluar dritaren shtesë, por Edge përmbante një listë të integruar adresash të lejuara, njëra prej të cilave lejonte hapjen e dritares popup. Sulmi varej gjithashtu nga fakti që viktima të ishte e identifikuar në llogari, kusht që plotësohej nga veçoria e identifikimit automatik të Edge kur përdoruesi vizitonte një faqe të Microsoft. Së fundi, assets.msn.com ia ekspozonte adresën e emailit të viktimës çdo faqeje interneti për shkak të një cross-origin setting të konfiguruar gabimisht, i cili kontrollon nëse një faqe interneti mund t'i ofrojë të dhëna një tjetre.
Ekzekutimi i JavaScript në faqet e internetit nuk siguronte në vetvete kontroll mbi Windows, ndaj zinxhiri më pas vuri në shënjestër Immersive Reader, mënyrën e leximit të Edge. Kjo veçori funksiononte nën një adresë të personalizuar read://, por Microsoft e kishte lënë atë adresë jashtë grupit të faqeve ku ndalohej ekzekutimi i script-eve. Studiuesi e përdori këtë mundësi për të thirrur një funksion të brendshëm të Edge, të krijuar për të kompresuar log-et diagnostikuese. Duke e keqpërdorur atë funksion, exploit mund të krijonte kudo në disk një skedar me përmbajtje të zgjedhur nga sulmuesi dhe me një emër të përcaktuar prej tij.
arbitrary file write u shndërrua në code execution përmes dy hapave të tjerë. Së pari, zinxhiri zëvendësoi një skedar konfigurimi që përcaktonte se cilat faqe interneti mund të hapnin protocol handlers, të cilët janë programe të lidhura me lloje të veçanta lidhjesh. Më pas ai rinisi Edge, në mënyrë që shfletuesi të ngarkonte konfigurimin e ndryshuar. Sipas studiuesit, rinisja e thjeshtonte demonstrimin në konkurs, por nuk do të ishte e nevojshme në një sulm real.
Më pas exploit hapi një lidhje telnet://. Windows nuk përfshin si standard një program Telnet, ndaj kërkoi në shtegun e sistemit një program të përshtatshëm. Zinxhiri përfitoi nga ky kërkim duke vendosur një kopje të kontrolluar nga sulmuesi në një dosje ku përdoruesi me privilegje të ulëta kishte të drejtë shkrimi. Windows më pas e ekzekutoi atë kopje, duke përfunduar kalimin nga një faqe keqdashëse interneti te kodi që ekzekutohej jashtë sandbox të shfletuesit.
Edge Stable 148.0.3967.70 përfshiu tri korrigjime sigurie specifike për Edge, të gjurmuara si CVE-2026-45492, CVE-2026-45494 dhe CVE-2026-45495. Microsoft e klasifikon të parën si security feature bypass dhe të dytën si problem spoofing, ku të dyja prekin versionet përpara 148.0.3967.70. Secili nga këto dy regjistrime ka një vlerësim ashpërsie prej 5.4 nga 10. Ky vlerësim mesatar përshkruan secilën dobësi veçmas dhe nuk përfaqëson efektin e kombinimit të tyre në një zinxhir code execution.
Për pronarët e faqeve të internetit, gjetjet tregojnë se defektet e shfletuesit mund të mposhtin mbrojtjet e konfiguruara siç duhet nga një faqe individuale, përfshirë CSP, sepse dështimi ndodhi në nivelin e shfletuesit. Mbrojtja e drejtpërdrejtë është mbajtja e Edge të përditësuar. Përditësimet automatike ua kanë shpërndarë tashmë versionin e majit shfletuesve që i marrin ato normalisht dhe Microsoft nuk kërkon asnjë veprim të veçantë pasi përditësimi të instalohet. Për organizatat që rishikojnë praktikat e tyre më të gjera të sigurisë pas dobësive të tilla, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë në plan të parë.
Kërkimi ilustron gjithashtu pse gabimet logjike, që veçmas kanë ashpërsi mesatare, mund të bëhen shumë më serioze kur kombinohen nëpër veçoritë e shfletuesit dhe të sistemit operativ. Gjetja e sjelljeve të veçanta ishte pjesa e vështirë e punës, ndërsa lidhja e tyre u bë relativisht e drejtpërdrejtë pasi u njohën të gjitha pjesët. Kërkimi mori më vonë çmimin 2026 Pwnie Award for Epic Achievement, por përfundimi praktik për përdoruesit mbetet i thjeshtë: instaloni përditësimet aktuale të Edge dhe rinisni shfletuesin kur t'ju kërkohet.