Цепочка логических уязвимостей, не связанных с повреждением памяти, может превратить вредоносную веб-страницу в код, выполняющийся на компьютере с Windows вне песочницы Microsoft Edge, как показал исследователь безопасности.
Оранг Цай из DEVCORE опубликовал полный метод 28 октября, через пять месяцев после того, как эта цепочка принесла ему 175 000 долларов на конкурсе Pwn2Own Berlin в мае. Microsoft исправила уязвимости Edge на следующий день после конкурса, поэтому обновленный браузер не подвержен риску.
Песочница браузера — это стена, которая удерживает код веб-страницы внутри браузера и не дает ему проникнуть в остальную часть компьютера. Прорыв через нее с последующим запуском программы превращает ошибку в браузере в полный контроль над машиной.
Эксплойты, позволяющие выйти из песочницы, почти всегда полагаются на повреждение памяти. Этот же не использовал ничего подобного. В своей статье Цай описывает цепочку, построенную исключительно на логических ошибках в том, как Edge и Windows обрабатывают обычные функции, и утверждает, что весь эксплойт состоит менее чем из 100 строк кода.
В результате получается универсальный примитив межсайтового скриптинга (UXSS): способ запуска JavaScript на любом веб-сайте в обход политики безопасности контента, предназначенной для его предотвращения.
Поскольку атака начинается из собственного процесса браузера, она может достигать таких сайтов, как google.com, которые обычная веб-уязвимость не может затронуть. Цай называет это новой поверхностью атаки, а не единичной ошибкой.
Это был эксплойт для конкурса, а не атака, замеченная в реальных условиях. Цай продемонстрировал его на сцене Pwn2Own; нет никаких свидетельств того, что он использовался против реальных пользователей, а в общедоступных записях CVE указано, что эксплуатация отсутствует. Один из шагов в цепочке перезапускает браузер, что, как отмечает Цай, было сделано для удобства проведения конкурса и не требуется в реальной атаке.
Цепочка начинается с функции Edge для входа в корпоративные системы под названием “conditional access navigation throttle” (ограничитель навигации для условного доступа). Цай обнаружил, что ее активация позволяет собственному процессу браузера начать новую навигацию, не связанную со страницей, которая ее запросила, поэтому Edge прикрепляет ее к любой открытой вкладке. Это несоответствие является первой ошибкой и приводит к UXSS.
Для того чтобы это произошло без клика, потребовалось еще четыре уязвимости. Edge проверял, исходит ли запрос с доверенного сайта Microsoft, но Цай обошел проверку, открыв запрос из второго окна. Блокировщик всплывающих окон Edge должен был остановить это окно, но Edge использовал жестко закодированный список разрешенных адресов, и один из них открыл всплывающее окно.
Атака также требовала, чтобы жертва уже была авторизована, что функция авто-входа Edge обеспечивает автоматически при посещении пользователем сайта Microsoft. Наконец, цепочка считывает адрес электронной почты жертвы с сайта Microsoft, assets.msn.com, который возвращал его любому веб-сайту из-за неправильной настройки междоменного взаимодействия.
Запуск JavaScript везде еще не означает контроль над компьютером. Чтобы выйти из песочницы, Цай использовал режим чтения Edge, Immersive Reader, который работает под пользовательским адресом read://, который Microsoft не включила в список страниц, запрещенных для выполнения скриптов.
Оттуда цепочка вызвала внутреннюю функцию Edge, предназначенную для архивирования диагностических журналов, и использовала ее для записи файла с выбранным злоумышленником именем и содержимым в любое место на диске.
Эта запись файла превращается в выполнение кода в два этапа. Цепочка перезаписывает конфигурационный файл, который контролирует, какие веб-сайты могут запускать какие обработчики протоколов, а затем перезапускает Edge, чтобы файл был прочитан. Затем она запускает ссылку telnet://; поскольку Windows по умолчанию не поставляется с программой telnet, она ищет ее в системном пути и запускает поддельную копию из папки, в которую пользователь с низкими привилегиями может записывать.
Microsoft выпустила исправление 15 мая, на следующий день после конкурса, в версии Edge Stable 148.0.3967.70. Этот выпуск содержал три исправления, специфичных для Edge, отслеживаемые как CVE-2026-45492, CVE-2026-45494 и CVE-2026-45495. Первый зарегистрирован как обход функции безопасности, а второй — как ошибка спуфинга, оба затрагивают версии Edge до 148.0.3967.70.
Записи Microsoft оценивают первые два балла по 10-балльной шкале как 5,4 — средний показатель, отражающий одну уязвимость в изоляции, а не полную цепочку, которая объединяет их в выполнение кода. DEVCORE заявила, что исправление было выпущено в течение 24 часов после раскрытия информации.
Обновление Edge закрывает эту цепочку. Поскольку исправление было выпущено в мае, браузер с автоматическим обновлением давно получил его, и никаких дополнительных действий не требуется.
Цай собрал цепочку вручную, примерно за два месяца, без какой-либо помощи ИИ, и представляет эту работу как доказательство того, где человеческие исследования по-прежнему имеют значение. “Самое сложное — найти их, а когда вы найдете их все, связывание — самая простая часть”, — пишет он о логических ошибках. Исследование получило премию Pwnie Award 2026 за выдающееся достижение.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
