Lanac logičkih propusta doveo do izvršavanja koda iz Edgea
Istraživač Orange Tsai iz kompanije DEVCORE osvojio je 175.000 dolara na takmičenju Pwn2Own Berlin u maju 2026. godine demonstracijom lanca logičkih propusta u Microsoft Edgeu koji je vodio do izvršavanja koda u Windowsu van sandboxa pregledača. Microsoft je propuste ispravio 15. maja u izdanju Edge Stable 148.0.3967.70, a zakrpe obuhvataju CVE-2026-45492, CVE-2026-45494 i CVE-2026-45495.
Posebnost demonstracije je u tome što lanac nije koristio korupciju memorije. Tsai je opisao eksploataciju kraću od 100 linija koda, sastavljenu isključivo od grešaka u logici rada Edgea i Windowsa. Istraživanje je objavljeno 28. oktobra, pet meseci nakon takmičenja, a za rad je dodeljena nagrada Pwnie Award 2026 za izuzetno dostignuće.
Od navigacije do univerzalnog XSS-a
Početna tačka bio je mehanizam conditional access navigation throttle, namenjen poslovnim prijavama. Pokretanje tog mehanizma omogućavalo je procesu pregledača da započne novu navigaciju koja nije ostajala vezana za stranicu koja ju je zatražila, već se pridruživala trenutno otvorenoj kartici.
Takvo nepodudaranje stvorilo je univerzalni XSS primitiv: mogućnost izvršavanja JavaScripta na bilo kom sajtu i zaobilaženja politike bezbednosti sadržaja. Da bi napad radio bez klika korisnika, lanac je uključivao dodatne slabosti: proveru pouzdanog Microsoft sajta zaobiđenu drugim prozorom, adresu sa ugrađene liste koja je mogla da otvori iskačući prozor, automatsku prijavu u Edgeu i pogrešno podešena cross-origin pravila na assets.msn.com za čitanje imejl adrese.
Izlazak iz sandboxa i posledice zakrpe
Univerzalni XSS sam po sebi ne znači kontrolu nad računarom. Za izlazak iz sandboxa iskorišćen je Edgeov Immersive Reader, koji koristi prilagođenu adresu read://. Microsoft tu adresu nije uključio u listu stranica kojima je zabranjeno pokretanje skripti, pa je bilo moguće pozvati internu Edge funkciju namenjenu arhiviranju dijagnostičkih zapisa.
Ta funkcija je zloupotrebljena za upis fajla sa nazivom i sadržajem po izboru napadača na proizvoljnu lokaciju na disku. Lanac je zatim menjao konfiguracioni fajl za dozvoljene pokretače protokola, ponovo pokretao Edge i aktivirao telnet:// vezu. Pošto Windows podrazumevano nema telnet program, sistem pretražuje putanju i može da pokrene podmetnutu kopiju iz fascikle u koju korisnik sa niskim privilegijama sme da upisuje.
Zapisi kompanije Microsoft prve dve ranjivosti ocenjuju sa 5,4 od 10, što opisuje pojedinačne propuste, a ne njihov spoj u izvršavanje koda. Širi kontekst bezbednosti pregledača pruža i primer rizika čuvanja lozinki u memoriji Edgea kroz primer rizika čuvanja lozinki u memoriji Edgea i drugih kritičnih propusta.
Praktičan zaključak za organizacije
Ovaj slučaj nije zabeležen kao napad na stvarne korisnike, a javni CVE zapisi navode da eksploatacije nema. DEVCORE navodi da je ispravka stigla u roku od 24 časa od prijave na takmičenju. Organizacije koje koriste automatska ažuriranja već su dobile zakrpu i ne zahtevaju posebnu akciju za ovaj lanac. Praktičan zaključak je da ažuran pregledač ostaje osnovna mera, dok testiranje treba da obuhvati i veze između legitimnih funkcija, politika porekla i pokretanja lokalnih aplikacija.