マイクロソフトが修正期限を過ぎた後、グーグルはマイクロソフトエッジブラウザの欠陥に関する詳細を明らかにした. Googleは以前、ProjectZeroを介してブラウザの脆弱性についてMicrosoftに通知していました。, 彼らに通常の90日の開示期限を与える.
未修正のMicrosoftEdgeの脆弱性に関する詳細
レポートは、Edgeの任意のコードガード機能のバグに関するものでした, 11月にリリースされました. グーグルがマイクロソフトに余分な時間を与えたことに注意する必要があります-リクエストに応じてさらに2週間-しかし、余分な時間にもかかわらず、欠陥はまだWindowsに存在しています 10.
この問題は、火曜日のパッチアップデートの範囲内で3月に修正される予定です。. 専門家によると, バグの重大度は中程度であり、JITに起因します (ジャストインタイム) MicrosoftEdgeのJavascript用コンパイラ. ブラウザ内のセキュリティの抜け穴は、呼び出されるプロセスのアドレスを予測することによって侵害につながる可能性があります. ブラウザのユーザーシェアはそれほど大きくはありませんが, この問題は依然としてユーザーを危険にさらす可能性があります, マイクロソフトがそれに対処するのに非常に長い時間がかかっているのは確かに恥ずかしいことです.
これが 公式説明 バグの:
コンテンツプロセスが危険にさらされ、コンテンツプロセスがどのアドレスでJITプロセスがVirtualAllocExを呼び出すかを予測できる場合() 次 (ノート: それはかなり予測可能です), コンテンツプロセスは:
1. UnmapViewOfFileを使用して、上記でマップされた共有メモリのマップを解除します()
2. 同じアドレスに書き込み可能なメモリ領域を割り当てますJITサーバーは、すぐに実行可能なペイロードをそこに書き込み、書き込みます.
3. JITプロセスがVirtualAllocExを呼び出すとき(), メモリがすでに割り当てられている場合でも, 呼び出しは成功し、メモリ保護はPAGE_EXECUTE_READに設定されます.
3月を待つ 2018 火曜日のパッチ
冒頭で述べたように, 問題が当初考えられていたよりも複雑だったため、Microsoftがもっと時間が必要だと言ってからさらに2週間後にGoogleはMicrosoftに与えた. でも, マイクロソフトは2番目の期限を逃し、グーグルは公開されました. ウィンドウズ 10 MicrosoftEdgeブラウザを実行しているユーザーは3月まで待つ必要があります 2018 火曜日にパッチを適用して修正する.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: