Google ujawniło szczegóły na temat dość poważnej luki w przeglądarce internetowej Microsoft Edge, ale Microsoft nie będzie w stanie naprawić problemu do połowy marca.
Ta luka pozwala atakującym ominąć funkcję zabezpieczeń Edge o nazwie Arbitrary Code Guard (ACG), która uniemożliwia wykonanie złośliwego kodu JavaScript na stronie internetowej. Wyszukiwacze błędów z zespołu Google Project Zero znaleźli usterkę 17 listopada i dali firmie Microsoft standardowe 90 dni na jej naprawienie, zanim Google ujawniło tę usterkę.
Ale w dniu ostatecznym, 15 lutego, Microsoft powiedział Project Zero, że nie będzie w stanie dotrzymać terminu, nawet z dwutygodniowym przedłużeniem, które najwyraźniej zaoferował Project Zero. Tak więc Google ujawnił błąd, którego poprawka nadejdzie 13 marca wraz z kolejną rundą zaplanowanych aktualizacji firmy Microsoft we wtorek.
Użytkownicy Edge mogą chcieć do tego czasu powstrzymać się od korzystania z flagowej przeglądarki Microsoftu.
WIĘCEJ: Edge vs. Chrome vs. Firefox: Bitwa o przeglądarki Windows 10
Srebrną podszewką jest to, że ta wada „nie może być wykorzystana samodzielnie”, jak napisał badacz Google Project Zero Ivan Fratric w komentarzu do swojego oryginalnego wpisu na blogu.
Aby zaatakować czyjąś przeglądarkę Edge, pierwszym krokiem byłoby zainfekowanie lub w inny sposób zhakowanie innego procesu w przeglądarce. Dopiero po tym będziesz mógł przejść do kroku drugiego: użyjesz tej nowej luki, aby zamienić złośliwy kod dokładnie we właściwym punkcie pamięci operacyjnej Edge'a, tak aby kod zastąpił łagodny kod, który miał uruchomić proces ACG Edge'a.
„Atakujący musiałby najpierw wykorzystać osobną lukę, aby uzyskać pewne możliwości w procesie zawartości Edge (takie jak zdolność do odczytu i zapisu dowolnych lokalizacji pamięci)”, napisał Fratric, „po czym mógłby wykorzystać tę lukę, aby uzyskać dodatkowe możliwości (mianowicie możliwość uruchamiania dowolnego kodu maszynowego)."
Zła wiadomość jest taka, że krok pierwszy jest prawdopodobnie w zasięgu wykwalifikowanych hakerów i odpowiednio spreparowanego złośliwego oprogramowania. Oryginalny wpis na blogu Fratric, teraz dostępny dla wszystkich, pokazuje dokładnie, jak przejść do kroku drugiego. Możesz się założyć, że źli ludzie pracują nad wdrożeniem exploita Fratrica, który sprawdza słuszność koncepcji, zanim poprawka będzie gotowa 13 marca.
Fratric ma jeszcze więcej wyjaśnić, jak to wszystko działa, 27 kwietnia na konferencji bezpieczeństwa Infiltrate w Miami Beach.
Źródło: T.Dallas/Shutterstock
- Jak zwiększyć swoją prywatność w Microsoft Edge
- Meltdown i Spectre: jak chronić komputer PC, Mac i telefon
- Najlepsze motywy systemu Windows 10 (i jak je pobrać)