Bellek bozulması içermeyen bir mantık hataları zinciri, kötü niyetli bir web sayfasını Microsoft Edge'in kum havuzu dışındaki bir Windows bilgisayarında kod çalıştırmaya yetebiliyor. Bunu bir güvenlik araştırmacısı gösterdi.
DEVCORE'dan Orange Tsai, zincirin mayısta Pwn2Own Berlin yarışmasında 175 bin dolar kazandığı yarışmadan beş ay sonra yöntemin tamamını 28 Ekim'de yayımladı. Microsoft, yarışmanın ertesi günü Edge açıklarını düzeltti; güncel bir tarayıcı risk altında değil.
Tarayıcı kum havuzu, bir web sayfasının kodunu tarayıcı içinde tutan ve bilgisayarın geri kalanından uzak tutan duvar gibidir. Buradan çıkmak ve ardından bir program çalıştırmak, bir web açığını makinenin tam kontrolüne dönüştürür.
Bu tür tarayıcı kaçışları neredeyse her zaman bellek bozulmasına dayanır. Bu örnekte hiç bellek bozulması yok. Yazısında Tsai, zincirin Edge ve Windows'un sıradan özellikleri nasıl ele aldığındaki yalnızca mantık hatalarından oluştuğunu anlatıyor ve tüm istismarın 100 satırın altında kod olduğunu söylüyor.
Sonuç, evrensel çapraz site betikleme (UXSS) ilkelidir: içerik güvenliği politikasını atlayarak herhangi bir web sitesinde JavaScript çalıştırmayı sağlayan bir yöntem.
Saldırı tarayıcının kendi sürecinden başladığı için google.com gibi sıradan bir web açığının erişemeyeceği sitelere ulaşabiliyor. Tsai buna tek seferlik bir hata değil, yeni bir saldırı yüzeyi diyor.
Bu bir yarışma istismarıydı, doğada görülen bir saldırı değil. Tsai bunu Pwn2Own'da sahnede gösterdi; gerçek kullanıcılara karşı kullanıldığına dair bir kanıt yok ve kamuya açık CVE kayıtlarında istismar durumu 'yok' olarak listeleniyor. Zincirin bir adımı tarayıcıyı yeniden başlatıyor; Tsai bunun yarışma için bir kolaylık olduğunu ve gerçek bir saldırıda gerekli olmadığını belirtiyor.
Zincir, kurumsal oturum açmalar için olan ve koşullu erişim gezinme kısaltması adı verilen bir Edge özelliğiyle başlıyor. Tsai, bunun tetiklenmesinin tarayıcının kendi sürecinin, talep eden sayfaya bağlı olmayan yeni bir gezinme başlatmasına izin verdiğini buldu; böylece Edge bunu açık olan hangi sekmenin üzerine ekliyor. Bu uyuşmazlık ilk hata ve UXSS'yi üretiyor.
Bunu tıklama olmadan çalıştırabilmek için dört zayıflık daha gerekiyordu. Edge, isteğin güvenilir bir Microsoft sitesinden geldiğini kontrol ediyordu; Tsai ise isteği ikinci bir pencereden açarak bu kontrolü atlattı. Edge'in açılır pencere engelleyicisi o pencereyi durdurmalıydı; ancak Edge'de sabit kodlanmış izinli adresler listesi vardı ve bunlardan biri açılır pencereyi açtı.
Saldırı ayrıca kurbanın zaten oturum açmış olmasını gerektiriyordu; bunu Edge'in otomatik oturum açma özelliği, kullanıcı bir Microsoft sitesini ziyaret ettiğinde kendi başına sağlıyor. Son olarak zincir, kurbanın e-posta adresini assets.msn.com adlı Microsoft sitesinden okuyor; yanlış yapılandırılmış çapraz kaynak ayarı nedeniyle site bu adresi her web sitesine döndürüyordu.
Her yerde JavaScript çalıştırmak hâlâ bilgisayarın kontrolü anlamına gelmiyor. Kum havuzundan çıkmak için Tsai, Edge'in okuma modu Immersive Reader'ı kullandı; bu mod, Microsoft'un betik çalıştırması yasaklanan sayfalar listesine eklemediği özel bir read:// adresi altında çalışıyor.
Bundan sonra zincir, teşhis günlüklerini sıkıştırmak için tasarlanmış dahili bir Edge fonksiyonunu çağırdı ve bunu kötüye kullanarak saldırganın seçtiği isim ve içerikte bir dosyayı diskteki her yere yazmak için kullandı.
Bu dosya yazma işlemi iki adımda kod çalıştırmaya dönüşüyor. Zincir, hangi web sitelerinin hangi protokol işleyicilerini başlatabileceğini kontrol eden bir yapılandırma dosyasını üzerine yazıyor, ardından dosyanın okunması için Edge'i yeniden başlatıyor. Ardından bir telnet:// bağlantısı başlatıyor; Windows varsayılan olarak telnet programı ile gelmediği için sistem yolunda birini arıyor ve düşük ayrıcalıklı kullanıcının yazabileceği bir klasörden saldırganın yerleştirdiği kopyayı çalıştırıyor.
Microsoft düzeltmeyi yarışmanın ertesi günü olan 15 Mayıs'ta Edge Stable sürüm 148.0.3967.70'te yayımladı. Bu sürüm, CVE-2026-45492, CVE-2026-45494 ve CVE-2026-45495 olarak izlenen üç Edge'e özgü düzeltme içeriyordu. İlki güvenlik özelliği atlama olarak kaydedildi, ikincisi ise taklit hatası olarak kaydedildi; her ikisi de 148.0.3967.70 öncesi sürümleri etkiliyordu.
Microsoft'un kayıtlarında ilk ikisi 10 üzerinden 5,4 puanla derecelendirilmiş; bu orta düzey bir skor ve tek bir hatayı izole olarak yansıtıyor, hataları kod çalıştırmaya bağlayan tam zinciri değil. DEVCORE, düzeltmenin açıklama sonrası 24 saat içinde geldiğini söyledi.
Edge'i güncellemek bu zinciri kapatıyor. Düzeltme mayısta yayımlandığı için otomatik güncellemeyi açık bir tarayıcı çoktan almış durumda ve ayrı bir işlem gerekmiyor.
Tsai zinciri yaklaşık iki ayda, yapay zeka yardımı olmadan eliyle kurdu ve çalışmayı insan araştırmasının hâlâ önemli olduğu bir nokta olarak çerçeveliyor. Mantık hataları hakkında 'Zor olan onları bulmak; hepsini bulduktan sonra zincirleme en kolay kısım' diye yazıyor. Araştırma, 2026 Pwnie Ödülü'nde Destansı Başarı ödülünü kazandı.
