W sieci opublikowano nowy Proof of Concept exploita dla Edge, umożliwiającego zdalne wykonanie kodu. PoC demonstruje błąd uszkodzenia pamięci w przeglądarce Microsoftu, a dokładniej - w silniku Chakra. Jest to silnik JavaScript, który wraz z EdgeHTML zostanie niebawem przez Microsoft porzucony, przynajmniej w odniesieniu do Edge. Inne oparte na nim aplikacje będą bowiem działać dalej.
Kod exploita został opublikowany dzisiaj przez badacza zabezpieczeń, który odkrył podatność jakiś czas temu. Wykorzystując lukę, atakujący mógł wykonać na maszynie arbitralny kod z tymi samymi uprawnieniami, co zalogowany użytkownik. Proof of Concept zawiera 71 linijek kodu, którego rezultatem jest wyciek pamięci out-of-bounds (OOB), ale może zostać udoskonalony i zmodyfikowany, by wyrządzać dużo większe szkody.
I published the PoC for CVE-2018-8629: a JIT bug in Chakra fixed in the latest security updates. It resulted in an (almost) unbounded relative R/W https://t.co/47TIYtVB8f
— Bruno @ C3 (@bkth_) 27 grudnia 2018
Ile pożytku exploit może przynieść cyberprzestępcom? To zależy, jak na to spojrzeć. Microsoft załatał wykorzystywaną przez niego podatność w grudniowej aktualizacji zbiorczej, ale rzecz jasna nie wszyscy użytkownicy ją pobrali. Ci, którzy bojkotują comiesięczne aktualizacje w ramach Patch Tuesday, są więc narażeni na atak.
Microsoft Edge dalej działa w oparciu o EdgeHTML i Chakrę, ale wkrótce się to zmieni, bo przeglądarka przechodzi na Chromium. Testy nowej wersji ze zmienionym silnikiem rozpoczną się na początku przyszłego roku, a rejestracja na nie już wystartowała.
341f31d.png)