DEVCORE показала цепочку логических ошибок для выхода из песочницы Edge
Исследователь Orange Tsai из DEVCORE получил 175 тыс. долларов на Pwn2Own Berlin за цепочку логических ошибок в Microsoft Edge, которая позволяла выйти из песочницы браузера и запустить код в Windows. Microsoft устранила проблемы 15 мая, выпустив Edge Stable 148.0.3967.70 с исправлениями CVE-2026-45492, CVE-2026-45494 и CVE-2026-45495.
Особенность демонстрации в том, что в ней не применялись ошибки повреждения памяти. Tsai собрал эксплойт менее чем из 100 строк кода, используя только некорректное взаимодействие штатных функций Edge и Windows. Исследователь опубликовал техническое описание спустя пять месяцев после конкурса.
От навигации к выполнению JavaScript на любом сайте
Первым звеном стала функция conditional access navigation throttle, предназначенная для корпоративного входа. При её срабатывании процесс браузера создавал новую навигацию, не связанную со страницей-инициатором, и Edge присоединял её к открытой вкладке. Это давало примитив универсального межсайтового скриптинга, или UXSS.
Такой примитив позволяет выполнять JavaScript на произвольном сайте и обходить Content Security Policy. Для автоматического запуска цепочки потребовались дополнительные слабости: проверка доверенного сайта Microsoft обходилась через второе окно, а встроенный список разрешённых адресов Edge позволял обойти блокировщик всплывающих окон. Автоматический вход Edge обеспечивал наличие активной учётной записи, а assets.msn.com из-за неверной настройки междоменных запросов возвращал адрес электронной почты любому сайту.
Выход из песочницы через режим чтения
UXSS сам по себе не означает контроль над компьютером. Для выхода из песочницы Tsai задействовал Immersive Reader. Этот режим использует схему read://, которую Microsoft не включила в перечень страниц, где запрещено выполнение сценариев.
Из режима чтения исследователь вызвал внутреннюю функцию Edge для упаковки диагностических журналов и использовал её для записи файла с выбранными именем и содержимым в произвольное место на диске. Далее цепочка заменяла конфигурационный файл, определяющий сайты и обработчики протоколов, после чего перезапускала браузер.
Затем эксплойт открывал ссылку telnet://. Поскольку Windows по умолчанию не поставляет программу telnet, система искала обработчик в системном пути и запускала подготовленную атакующим копию из папки, доступной низкопривилегированному пользователю. Контекст подобных рисков дополняет угрозы Edge для браузерных данных, где уязвимости Edge также рассматривались среди актуальных угроз для браузерных данных.
Что важно для организаций
Microsoft оценила CVE-2026-45492 и CVE-2026-45494 в 5,4 балла из 10, однако эта оценка относится к отдельным дефектам, а не к полной цепочке. DEVCORE сообщила, что исправление было подготовлено в течение 24 часов после раскрытия на конкурсе.
Признаков эксплуатации против реальных пользователей нет: это был конкурсный эксплойт, показанный на сцене Pwn2Own. Организациям стоит убедиться, что управляемые устройства получают обновления Edge: версия 148.0.3967.70 и более новые закрывают описанную цепочку. История показывает, что при оценке браузерных рисков важно учитывать не только отдельные CVE, но и возможность связать штатные функции в последовательную атаку.