Microsoft Edge cai com menos de 100 linhas de cod sem falha de memória

Microsoft Edge sofreu uma invasão completa a partir de uma página maliciosa, sem qualquer corrupção de memória. A demonstração rendeu US$ 175 mil, cerca de R$ 942 mil, durante a competição Pwn2Own em Berlim.

Entretanto, o responsável foi o pesquisador Orange Tsai, da equipe DEVCORE.

Ele publicou a metodologia completa em artigo técnico na quarta-feira, 28 de outubro. O caso original, porém, aconteceu em maio.

Por que esse ataque a Microsoft foge do padrão

O modelo tradicional de invasão de navegador depende de falhas técnicas complexas de memória.

Essa pesquisa seguiu outro caminho. Entretanto, ela usou exclusivamente erros simples na forma como o navegador e o sistema gerenciam recursos comuns.

O resultado impressiona pela economia. Com menos de 100 linhas de código, o programa gerou um mecanismo de execução universal e contornou proteções básicas.

O próprio pesquisador resumiu a lógica do trabalho. Além disso, segundo ele, a parte difícil está em encontrar as falhas, enquanto encadear vem depois com facilidade.

Onde a cadeia começou dentro da Microsoft

O ponto de partida chama atenção pelo contexto. A primeira peça foi uma ferramenta empresarial do navegador voltada para autenticação de contas.

O especialista constatou um comportamento inesperado nesse mecanismo. Além disso, o acionamento permitiu que o processo do navegador iniciasse uma nova navegação desvinculada da página original.

Em seguida, ele ligou esse processo à aba aberta no momento.

As quatro fragilidades usadas no encadeamento

Para dispensar qualquer clique do usuário, outras quatro fraquezas entraram em cena.

A primeira desviou de verificações de segurança por meio de uma segunda janela.

A segunda contornou bloqueadores de pop up usando endereços permitidos.

A terceira aproveitou o login automático.

A quarta extraiu o e mail da vítima de um serviço associado. Isso aconteceu por falhas na troca de dados entre servidores.

Entretanto, com o acesso garantido, o pesquisador seguiu adiante. Ele usou a ferramenta de leitura imersiva e manipulou funções de arquivos de diagnóstico.

Dessa forma, conseguiu sobrescrever arquivos do sistema e alterar o computador.

A correção e os identificadores afetados

A resposta foi rápida. A empresa corrigiu as vulnerabilidades no dia seguinte ao evento.

A atualização chegou em 15 de maio, na versão estável 148.0.3967.70.

Três identificadores entraram nas notas de segurança. São eles CVE-20264592, CVE-20264594 e CVE-20264595.

Portanto, quem mantém o navegador atualizado segue fora de risco.

Dustin Childs, representante da Zero Day Initiative, apontou o valor desse tipo de evento. Segundo ele, a demonstração expõe pontos cegos que fabricantes corrigem antes de qualquer aproveitamento real.

O que esse caso ensina sobre segurança de aplicação

Primeiro, falha lógica merece o mesmo peso que falha de memória na sua modelagem de ameaça. Essa cadeia inteira dispensou corrupção de memória.

Segundo, recurso empresarial costuma abrir caminho inesperado. Fluxo de autenticação corporativa escapa dos testes focados no uso comum.

Terceiro, domínio em lista de permissão vira vetor. Bloqueador de pop up confia nesse registro sem questionar.

Por fim, revise funções de diagnóstico no seu produto. Além disso, a escrita de arquivo para suporte técnico oferece poder considerável quando combinada com outras brechas.

Acompanhe nosso perfil no Instagram!