מיקרוסופט משאירה את פגם הקצה ללא הודעה עד לחודש הבא - ביקורותExpert.net

גוגל חשפה פרטים על פגם רציני למדי בדפדפן האינטרנט Edge של מיקרוסופט, אך מיקרוסופט לא תוכל לפתור את הבעיה עד אמצע מרץ.

הפגם מאפשר לתוקפים לעקוף תכונת אבטחה של Edge בשם Arbitrary Code Guard (ACG) שעוצרת הפעלה של JavaScript זדוני בדף אינטרנט. מחפשי באגים מצוות Project Zero של גוגל מצאו את הפגם ב -17 בנובמבר ונתנו למיקרוסופט את 90 הימים הסטנדרטיים לתקן אותו לפני שגוגל גילתה את הפגם.

אבל ביום המועד האחרון, 15 בפברואר, מיקרוסופט אמרה לפרויקט אפס כי היא לא תוכל לעמוד בתאריך היעד, אפילו עם הארכה של שבועיים שפרויקט אפס כנראה הציע. אז גוגל שפכה את השעועית על הפגם, התיקון שלו יגיע ב -13 במרץ עם סיבוב העדכונים המתוכנן של מיקרוסופט ביום שלישי הקרוב.

משתמשי Edge עשויים לרצות להימנע משימוש בדפדפן הדגל של מיקרוסופט עד אז.

עוד: Edge לעומת Chrome לעומת Firefox: Battle of the Windows 10 Browsers

רירית הכסף כאן היא שהפגם הזה "לא ניתן לנצל לבד", כפי שכתב חוקר פרויקט אפס של גוגל, איוון פרטריק, בהערה לפרסום הבלוג המקורי שלו.

כדי לתקוף את דפדפן Edge של מישהו אחר, שלב ראשון יהיה להדביק או להתפשר בדרך אחרת על תהליך אחר בדפדפן שלו. רק לאחר מכן תוכל להמשיך לשלב השני: היית משתמש בפגם החדש הזה כדי להחליף קוד זדוני בדיוק בנקודה הנכונה בזיכרון הריצה של Edge, כך שהקוד יחליף את הקוד שפיר שתהליך ACG של Edge עומד להריץ.

"תוקף יצטרך קודם כל לנצל פגיעות נפרדת כדי להשיג יכולות מסוימות בתהליך התוכן של Edge (כגון היכולת לקרוא ולכתוב מיקומי זיכרון שרירותיים)", כתב Fratric, "ולאחר מכן יוכל להשתמש בפגיעות זו כדי להשיג יכולות נוספות (כלומר, היכולת להריץ קוד מכונה שרירותי). "

החדשות הרעות הן כי שלב ראשון כנראה נמצא בהישג ידם של האקרים מיומנים ותוכנות זדוניות שנוצרו כראוי. פרסום הבלוג המקורי של Fratric, הזמין כעת לכולם, מראה לך בדיוק כיצד להמשיך לשלב השני. אתה יכול להתערב שהרעים עובדים על יישום הניצול של הוכחת הקונספט של Fratric לפני שהתיקון יהיה מוכן ב -13 במרץ.

Fratric אמור להסביר עוד יותר כיצד כל זה עובד ב -27 באפריל בכנס הביטחון של הסתננות במיאמי ביץ '.

קרדיט תמונה: T.Dallas/Shutterstock