Google on avaldanud üksikasju üsna tõsise vea kohta Microsofti veebibrauseris Edge, kuid Microsoft saab probleemi lahendada alles märtsi keskel.
Viga võimaldab ründajatel mööda minna Edge turvafunktsioonist nimega Arbitrary Code Guard (ACG), mis peatab pahatahtliku JavaScripti käivitamise veebilehel. Google'i Project Zero meeskonna veaotsijad leidsid vea 17. novembril ja andsid Microsoftile aega 90 päeva selle parandamiseks, enne kui Google vea avalikustas.
Kuid tähtajal, 15. veebruaril, ütles Microsoft Project Zerole, et ei suuda seda tähtaega täita isegi kahe nädala pikendamise korral, mille Project Zero ilmselt pakkus. Nii levis Google vea üle, mille parandus tuleb 13. märtsil koos Microsofti järgmise plaastri teisipäevase plaanitud värskenduste vooruga.
Edge kasutajad võivad soovida seni Microsofti lipulaeva brauseri kasutamisest hoiduda.
ROHKEM: Edge vs Chrome vs Firefox: Windows 10 brauserite lahing
Hõbedane vooder on see, et seda viga "ei saa iseseisvalt ära kasutada", nagu kirjutas Google Project Zero uurija Ivan Fratric oma esialgse ajaveebi postituse kommentaaris.
Kellegi teise Edge brauseri ründamiseks oleks esimene samm nakatada või muul viisil ohustada nende brauseri mõnda muud protsessi. Alles pärast seda saate jätkata teise sammuga: kasutate seda uut viga pahatahtliku koodi vahetamiseks Edge'i jooksva mälu täpselt õiges kohas, nii et kood asendab healoomulise koodi, mille Edge ACG protsess oli käivitamas.
"Ründaja peaks esmalt kasutama eraldi haavatavust, et saada mõned võimalused Edge'i sisuprotsessis (nt võime lugeda ja kirjutada suvalisi mälukohti)," kirjutas Fratric, "mille järel nad saaksid seda haavatavust täiendavate võimaluste saamiseks kasutada (nimelt võime käitada suvalist masinakoodi). "
Halb uudis on see, et esimene samm on tõenäoliselt oskuslike häkkerite ja korralikult koostatud pahavara käeulatuses. Fratrici esialgne ajaveebi postitus, mis on nüüd kõigile nähtav, näitab teile täpselt, kuidas jätkata teise sammuga. Võite kihla vedada, et halvad poisid töötavad selle nimel, et rakendada Fratrici kontseptsiooni tõestust, enne kui parandus on valmis.
Fratric selgitab 27. aprillil Miami Beachil turvakonverentsil veelgi rohkem, kuidas see kõik toimib.
Pildikrediit: T.Dallas/Shutterstock
- Kuidas oma privaatsust Microsoft Edge'is suurendada
- Meltdown ja Spectre: kuidas kaitsta oma arvutit, Maci ja telefoni
- Parimad Windows 10 teemad (ja kuidas neid alla laadida)