Google hat Details zu einem ziemlich schwerwiegenden Fehler in Microsofts Edge-Webbrowser enthüllt, aber Microsoft wird das Problem erst Mitte März beheben können.
Der Fehler ermöglicht es Angreifern, eine Edge-Sicherheitsfunktion namens Arbitrary Code Guard (ACG) zu umgehen, die die Ausführung von bösartigem JavaScript auf einer Webseite verhindert. Fehlersucher des Project Zero-Teams von Google fanden den Fehler am 17. November und gaben Microsoft die üblichen 90 Tage, um ihn zu beheben, bevor Google den Fehler aufdeckte.
Aber am Stichtag, dem 15. Februar, teilte Microsoft Project Zero mit, dass es die Frist nicht einhalten könne, selbst mit einer zweiwöchigen Verlängerung, die Project Zero anscheinend angeboten hatte. Also hat Google den Fehler ausgeplaudert, dessen Behebung am 13. März mit Microsofts nächster Patch-Dienstag-Runde der geplanten Updates erfolgen wird.
Bis dahin möchten Edge-Benutzer möglicherweise auf die Verwendung des Flaggschiff-Browsers von Microsoft verzichten.
MEHR: Edge vs. Chrome vs. Firefox: Kampf der Windows 10-Browser
Der Silberstreifen hier ist, dass dieser Fehler "nicht allein ausgenutzt werden kann", wie Ivan Fratric, Forscher von Google Project Zero, in einem Kommentar zu seinem ursprünglichen Blog-Posting schrieb.
Um den Edge-Browser einer anderen Person anzugreifen, besteht der erste Schritt darin, einen anderen Prozess in ihrem Browser zu infizieren oder anderweitig zu kompromittieren. Erst danach können Sie mit Schritt zwei fortfahren: Sie würden diesen neuen Fehler verwenden, um bösartigen Code an genau der richtigen Stelle im laufenden Arbeitsspeicher von Edge einzulagern, sodass der Code den gutartigen Code ersetzt, den der ACG-Prozess von Edge ausführen wollte.
„Ein Angreifer müsste zunächst eine separate Sicherheitsanfälligkeit ausnutzen, um einige Funktionen im Edge-Inhaltsprozess zu erhalten (z (nämlich die Fähigkeit, beliebigen Maschinencode auszuführen).“
Die schlechte Nachricht ist, dass Step One wahrscheinlich in Reichweite von erfahrenen Hackern und richtig erstellter Malware ist. Der ursprüngliche Blog-Beitrag von Fratric, der jetzt für alle zugänglich ist, zeigt Ihnen genau, wie Sie mit Schritt 2 fortfahren. Sie können darauf wetten, dass die bösen Jungs daran arbeiten, Fratrics Proof-of-Concept-Exploit zu implementieren, bevor der Fix am 13. März fertig ist.
Fratric wird am 27. April auf der Infiltrat-Sicherheitskonferenz in Miami Beach noch mehr darüber erklären, wie das alles funktioniert.
Bildnachweis: T. Dallas/Shutterstock
- So erhöhen Sie Ihre Privatsphäre in Microsoft Edge
- Meltdown und Spectre: So schützen Sie Ihren PC, Mac und Ihr Telefon
- Die besten Windows 10-Designs (und wie man sie herunterlädt)