Use-after-free trong Microsoft Edge cho phép thực thi mã từ xa

Use after free trong Microsoft Edge (Chromium-based) cho phép kẻ tấn công đã được cấp quyền thực thi mã qua mạng.

• Microsoft Edge (Chromium-based): các phiên bản bắt đầu từ 1.0.0.0 và nhỏ hơn 152.0.4191.52 được đánh dấu affected.
• Microsoft Edge for Android: các phiên bản bắt đầu từ 1.0.0.0 và nhỏ hơn 152.0.4191.52 được đánh dấu affected.
• Microsoft Edge for iOS: các phiên bản bắt đầu từ 1.0.0.0 và nhỏ hơn 152.0.4191.52 được đánh dấu affected.
• Microsoft Edge for Linux: các phiên bản bắt đầu từ 1.0.0 và nhỏ hơn 152.0.4191.52 được đánh dấu affected.
• Microsoft Edge for MAC: các phiên bản bắt đầu từ 1.0.0.0 và nhỏ hơn 152.0.4191.52 được đánh dấu affected.

Thông tin phát hành trong advisory của Microsoft liệt kê 152.0.4191.53 và 152.0.7977.64/.65, nhưng bằng chứng trả về không ánh xạ rõ từng giá trị cho từng nền tảng. Vì vậy, cần xác minh gói áp dụng cho từng nhánh thay vì giả định một phiên bản duy nhất đã xử lý mọi triển khai.

Microsoft phân loại đây là lỗi CWE-416, trong đó một đối tượng đã được giải phóng nhưng vẫn bị truy cập hoặc sử dụng. Theo advisory, kẻ tấn công cần sẵn có khả năng thực thi JavaScript trong tiến trình Microsoft Edge bị ảnh hưởng và có thể kích hoạt lỗi bằng hoạt động được tạo đặc biệt. Khai thác thành công có thể cho phép thực thi mã vượt ra ngoài phạm vi bảo mật của trình duyệt. Bản ghi mô tả khả năng tiếp cận qua mạng, yêu cầu quyền thấp và không cần tương tác người dùng; tuy nhiên, advisory của Microsoft nêu thêm điều kiện thực thi JavaScript hiện hữu trong tiến trình bị ảnh hưởng. Năm nhóm sản phẩm được liệt kê là bị ảnh hưởng, nhưng nguồn công khai không xác định subsystem, hàm hoặc loại hoạt động cụ thể gây ra lỗi.

Lỗi có thể bị tiếp cận qua mạng và bản ghi mô tả kẻ tấn công là một attacker đã được cấp quyền với yêu cầu quyền thấp. Bản ghi không yêu cầu tương tác người dùng, trong khi Microsoft cho biết kẻ tấn công phải có khả năng thực thi JavaScript trong tiến trình Edge bị ảnh hưởng và cần tạo hoạt động đặc biệt, cho thấy điều kiện khai thác không đơn giản. Microsoft ghi nhận rằng lỗi chưa được công khai và chưa bị khai thác tại thời điểm advisory, đồng thời đánh giá việc khai thác trên bản phát hành mới nhất là không có khả năng. Đây là trạng thái theo phạm vi và thời điểm của advisory, không chứng minh rằng sẽ không có khai thác trong tương lai. Không có public exploit hoặc chiến dịch cụ thể nào được nguồn đã kiểm tra nêu tên.

Khai thác lỗi use-after-free có thể dẫn đến thực thi mã vượt qua phạm vi bảo mật của trình duyệt. Kết quả kỹ thuật có thể bao gồm ảnh hưởng đến tính bí mật, toàn vẹn và sẵn sàng của dữ liệu hoặc endpoint mà tiến trình bị xâm phạm có thể truy cập. Vì bản ghi yêu cầu attacker đã được cấp quyền và Microsoft nêu điều kiện phải thực thi JavaScript trong tiến trình bị ảnh hưởng, lỗi không được mô tả như một đường tấn công không cần bất kỳ quyền hoặc khả năng nào. Mức độ ảnh hưởng thực tế còn phụ thuộc vào quyền của tiến trình, dữ liệu hiện diện trong phiên Edge và các biện pháp cô lập endpoint. Nguồn công khai không cho biết chi tiết triển khai đủ để xác định chính xác phạm vi leo thang hoặc kỹ thuật hậu khai thác.

Nếu bị khai thác, lỗi có thể làm suy yếu ranh giới bảo mật của trình duyệt và cho phép thực thi mã trong phạm vi rộng hơn dự kiến. Tùy quyền của tiến trình và dữ liệu mà trình duyệt có thể truy cập, hậu quả có thể bao gồm lộ dữ liệu, thay đổi dữ liệu hoặc ảnh hưởng đến tính sẵn sàng của endpoint. Rủi ro vận hành bao gồm phải ưu tiên cập nhật trên nhiều nền tảng và xác minh rằng các kênh cập nhật đã triển khai đúng gói cho từng nhánh. Bản ghi không cung cấp bằng chứng về một vụ xâm nhập, nạn nhân hoặc chiến dịch cụ thể.

1. Cập nhật ngay: triển khai bản cập nhật Microsoft Edge tương ứng với nền tảng qua kênh cập nhật chính thức. Advisory của Microsoft liệt kê thông tin phát hành 152.0.4191.53 và 152.0.7977.64/.65; hãy xác minh giá trị nào áp dụng cho từng nhánh trước khi triển khai rộng.
2. Kiểm kê các bản cài đặt Edge trên desktop, Android, iOS, Linux và macOS, sau đó xác nhận mỗi endpoint đã nhận đúng gói cập nhật và không còn nằm trong ranh giới affected.
3. Nếu chưa thể cập nhật ngay, giảm việc truy cập nội dung web không tin cậy và hạn chế khả năng thực thi JavaScript do nguồn không tin cậy khi phù hợp với chính sách vận hành. Đây chỉ là biện pháp giảm rủi ro tạm thời, không thay thế bản vá của Microsoft.
4. Theo dõi advisory và kênh cập nhật của Microsoft để xử lý các thay đổi về nhánh phát hành hoặc hướng dẫn nền tảng. Không nên coi một phiên bản được nêu cho một nhánh là bằng chứng rằng mọi nhánh khác đã được sửa.

1. Kiểm kê Microsoft Edge trên máy trạm và thiết bị di động, bao gồm các bản triển khai trên Android, iOS, Linux và macOS.
2. Đối chiếu phiên bản cài đặt với ranh giới bị ảnh hưởng trong phần affected_summary và xác nhận trạng thái cập nhật từ hệ thống quản lý endpoint hoặc kênh cập nhật Edge.
3. Kiểm tra riêng từng nền tảng thay vì giả định rằng một phiên bản phát hành áp dụng giống nhau cho mọi nhánh sản phẩm.
4. Rà soát telemetry của endpoint để phát hiện hoạt động bất thường liên quan đến tiến trình trình duyệt và thực thi mã ngoài phạm vi bảo mật của trình duyệt; đây là biện pháp giám sát phòng ngừa, không phải indicator đã được Microsoft xác nhận.
5. Nguồn đã kiểm tra không cung cấp IOC, mẫu log hoặc chữ ký phát hiện cụ thể cho lỗi này.