Wprowadzenie do problemu / definicja
Pod koniec października 2026 roku opisano nietypowy scenariusz przełamania zabezpieczeń Microsoft Edge, w którym pełny łańcuch ataku został zbudowany wyłącznie z błędów logicznych. To ważny przypadek, ponieważ pokazuje, że do naruszenia izolacji przeglądarki i osiągnięcia wykonania kodu w systemie Windows nie zawsze są potrzebne klasyczne podatności związane z uszkodzeniem pamięci.
W praktyce oznacza to, że błędne założenia projektowe, niewłaściwe relacje zaufania między komponentami oraz niebezpieczne interakcje funkcji przeglądarki mogą mieć równie poważne skutki jak tradycyjne exploity pamięciowe.
W skrócie
Badacz Orange Tsai z DEVCORE ujawnił szczegóły łańcucha exploita, który zdobył nagrodę 175 tys. dolarów podczas konkursu Pwn2Own Berlin 2026. Atak wykorzystywał zestaw błędów logicznych w Microsoft Edge i powiązanych mechanizmach Windows, prowadząc od złośliwej strony WWW do wykonania kodu poza sandboxem przeglądarki.
- łańcuch nie wymagał memory corruption,
- umożliwiał uzyskanie prymitywu UXSS,
- prowadził do obejścia polityk bezpieczeństwa przeglądarki,
- kończył się ucieczką z sandboxa i uruchomieniem kodu w systemie,
- Microsoft załatał problem w Edge 148.0.3967.70.
Kontekst / historia
Ucieczka z sandboxa przeglądarki od lat pozostaje jednym z najbardziej pożądanych celów zarówno dla badaczy bezpieczeństwa, jak i operatorów zaawansowanych exploitów. Współczesne przeglądarki stosują izolację procesów, ograniczenia uprawnień i dodatkowe mechanizmy ochronne, które sprawiają, że samo wykonanie skryptu w kontekście strony zwykle nie wystarcza do przejęcia hosta.
W tym przypadku badacz zrezygnował z klasycznych technik niskopoziomowych i połączył kilka pozornie niegroźnych zachowań biznesowych oraz architektonicznych. Kluczową rolę odegrały mechanizmy nawigacji, logika zaufanych źródeł, automatyczne logowanie, polityki cross-origin, funkcja Immersive Reader oraz wewnętrzne mechanizmy diagnostyczne przeglądarki.
Analiza techniczna
Punktem wyjścia był mechanizm logowania korporacyjnego i warunkowego dostępu w Edge. Odpowiednio wywołana nawigacja uruchamiana przez proces przeglądarki mogła zostać odseparowana od pierwotnej karty i powiązana z inną aktywną kartą. W efekcie powstawał prymityw Universal Cross-Site Scripting, czyli możliwość wykonywania JavaScriptu w kontekście innej, zaufanej witryny.
Znaczenie UXSS jest krytyczne, ponieważ pozwala ominąć granice pochodzenia i uzyskać dostęp do zasobów oraz funkcji, które normalnie byłyby chronione. Taki poziom kontroli umożliwia obchodzenie polityk bezpieczeństwa, interakcję z zaufanymi domenami oraz wykonywanie działań z uprzywilejowanego kontekstu przeglądarki.
Aby atak działał bez interakcji użytkownika, konieczne było połączenie kolejnych błędów logicznych. Wśród nich znalazły się obejście weryfikacji zaufanego źródła przez otwieranie żądania z drugiego okna, ominięcie blokady popupów z użyciem wcześniej dozwolonego adresu oraz wykorzystanie aktywnej sesji użytkownika, która ułatwiała automatyczne logowanie do usług Microsoft. Dodatkowo badacz wykorzystał błędną konfigurację cross-origin na zasobie assets.msn.com, co pozwalało odczytać adres e-mail użytkownika z poziomu dowolnej strony.
Kolejnym etapem była ucieczka z sandboxa przez funkcję Immersive Reader działającą pod schematem read://. Według analizy ten typ stron nie był objęty listą lokalizacji z zablokowanym wykonywaniem skryptów, co pozwalało wywoływać wewnętrzne funkcje Edge z kontekstu, który normalnie nie powinien mieć takiego dostępu.
Następnie exploit wykorzystywał funkcję pakowania logów diagnostycznych jako prymityw zapisu pliku z kontrolowaną nazwą i zawartością. Z perspektywy bezpieczeństwa był to kluczowy moment, ponieważ nawet ograniczony zapis pliku przez proces o niskich uprawnieniach może zostać przekształcony w skuteczną ścieżkę eskalacji wpływu.
Ostatni etap polegał na nadpisaniu pliku konfiguracyjnego odpowiadającego za mapowanie witryn do handlerów protokołów. Po restarcie przeglądarki nowa konfiguracja była wczytywana, a uruchomienie odnośnika telnet:// prowadziło do próby odnalezienia odpowiedniego programu w systemie. Ponieważ Windows domyślnie nie dostarcza klienta telnet, możliwe było uruchomienie podstawionego pliku wykonywalnego z katalogu zapisywalnego przez proces o niskich uprawnieniach. W ten sposób atak kończył się wykonaniem kodu poza sandboxem.
Konsekwencje / ryzyko
Najważniejszy wniosek z tego incydentu jest strategiczny: poważne naruszenie bezpieczeństwa nie musi wynikać z jednej krytycznej podatności. Wystarczy kilka błędów logicznych ocenianych indywidualnie jako umiarkowane, które połączone tworzą kompletny łańcuch prowadzący do pełnego przejęcia kontroli.
Dla organizacji oznacza to zwiększone ryzyko związane z przeglądarką jako głównym wektorem wejścia. Szczególnie istotne są integracje z usługami tożsamości, mechanizmami logowania oraz funkcjami pomocniczymi, które często nie są traktowane jako elementy wysokiego ryzyka, mimo że mogą tworzyć rozległą powierzchnię ataku.
- przeglądarka pozostaje jednym z najczęściej atakowanych komponentów użytkownika końcowego,
- błędy w logice zaufania mogą mieć wpływ większy niż pojedynczy CVE,
- funkcje takie jak tryb czytania, obsługa protokołów i narzędzia diagnostyczne mogą zostać wykorzystane ofensywnie,
- threat modeling powinien uwzględniać łańcuchowanie wielu średnich błędów w jedno krytyczne naruszenie.
Rekomendacje
Podstawowym środkiem obronnym pozostaje aktualizacja Microsoft Edge do wersji zawierającej poprawki, co najmniej 148.0.3967.70. Organizacje powinny również zweryfikować działanie automatycznych aktualizacji oraz upewnić się, że użytkownicy nie pracują na przestarzałych wydaniach przeglądarki.
Zespoły bezpieczeństwa powinny dodatkowo wdrożyć szersze działania prewencyjne i detekcyjne:
- traktować błędy logiczne w przeglądarkach jako potencjalnie łańcuchowalne,
- analizować niestandardowe schematy URL i strony wewnętrzne przeglądarki,
- ograniczać użycie niestandardowych handlerów protokołów, jeśli nie są wymagane biznesowo,
- monitorować nietypowe restarty przeglądarki i wywołania protokołów takich jak telnet://,
- kontrolować tworzenie i modyfikację plików konfiguracyjnych powiązanych z przeglądarką,
- przeglądać polityki CORS i konfiguracje cross-origin dla zasobów związanych z tożsamością użytkownika,
- rozszerzyć threat modeling o scenariusze wynikające z błędów projektowych i relacji zaufania.
Podsumowanie
Przypadek Microsoft Edge pokazuje, że granica między pozornie umiarkowanym błędem logicznym a pełnym zdalnym wykonaniem kodu może być bardzo cienka. Łańcuch zaprezentowany przez Orange Tsai stanowi ważne ostrzeżenie dla producentów oprogramowania i zespołów obronnych: skuteczna ochrona wymaga nie tylko łatania klasycznych CVE, ale także dogłębnej analizy interakcji między funkcjami, modelami zaufania i nietypowymi ścieżkami wykonania.
Źródła
- Researcher Reveals How Logic Bugs Alone Cracked Microsoft Edge in $175,000 Pwn2Own Win — https://thehackernews.com/2026/10/researcher-reveals-how-logic-bugs-alone.html
- Orange Tsai: Pwn2Own 2026 – Escaping the Browser Sandbox with Logic Bugs — https://blog.orange.tw/
- Zero Day Initiative: Pwn2Own Berlin 2026 — https://www.zerodayinitiative.com/
- Microsoft Edge Stable Channel Security Update 148.0.3967.70 — https://learn.microsoft.com/