Специалист по безопасности Оранж Цай из компании DEVCORE раскрыл, как цепочка логических уязвимостей может позволить злоумышленнику запустить код на компьютере с Windows, используя вредоносную веб-страницу, при этом не задействуя уязвимости, связанные с повреждением памяти. Полный метод был опубликован 28 октября, спустя пять месяцев после того, как данная цепочка уязвимостей принесла ему $175,000 на конкурсе Pwn2Own в Берлине в мае этого года.

Цай продемонстрировал, что даже без использования уязвимостей, связанных с памятью, возможно обойти защитные механизмы браузера Microsoft Edge. Это открытие подчеркивает важность внимания к логическим ошибкам, которые могут быть столь же опасны, как и более традиционные уязвимости.

На конкурсе Pwn2Own, который прошел в мае, исследователь смог успешно продемонстрировать свои находки, что вызвало значительный интерес у экспертов в области кибербезопасности. Microsoft оперативно отреагировала на проблему и выпустила обновление для Edge на следующий день после завершения конкурса, что свидетельствует о серьезности угрозы.

Логические уязвимости, о которых идет речь, могут использоваться для выполнения кода в контексте браузера, что в свою очередь может привести к компрометации системы. Это открытие подчеркивает необходимость более тщательной проверки и тестирования программного обеспечения на наличие подобных ошибок.

Эксперты рекомендуют пользователям Microsoft Edge оставаться внимательными и следить за обновлениями безопасности, чтобы минимизировать риск заражения вредоносным ПО. Данный инцидент также служит напоминанием о том, что киберугрозы могут принимать различные формы, и важно быть готовыми к их выявлению и устранению.

Источник новости:
The Hacker News

Читать полностью