Цепочка эксплойтов для Edge без повреждения памяти начинается с захода на microsoft.com

Пять багов и две функции Windows, без повреждения памяти

Разбор Orange Tsai начинается с ограничителя навигации Conditional Access в Edge. Навигации запускаются из процесса браузера и по умолчанию идут во вкладку, которая активна, что даёт универсальный XSS на таких сайтах, как google.com. Проверка origin через GetLastCommittedURL() пропускает навигации из других окон, а жёстко прописанный белый список всплывающих окон пропускает about:blank#quickAuthPopup.

Вход в аккаунт играет тихую роль: визит на сайт Microsoft создаёт профиль и авторизует вас, а уязвимость CORS на assets.msn.com раскрывает email. Побег проходит через схему read:// в Immersive Reader, которой нет в чёрном списке привилегированных страниц Chromium, и через zipDiagnosticLogFiles(): обход пути и нулевой байт перезаписывают protocols.json. После перезапуска Windows находит отсутствующий telnet.exe в папке WindowsApps, доступной для записи пользователю. Эксплойт короче 100 строк, над ним работали около двух месяцев. Он принёс $175 000 и 17,5 очков Master of Pwn на Pwn2Own Berlin 2026, а также премию Pwnie в номинации Epic Achievement.

Читателей больше задел профиль, чем эксплойт

Фраза из разбора о том, что простое посещение microsoft.com создаёт профиль и входит в него, вызвала самую резкую реакцию:

«Это отвратительное поведение, цепочка RCE или нет.» — комментатор о автоматическом входе

Другой указал на связанное видео обратной цепочки, где Edge открывается из приложения «Калькулятор» (

), и похвалил цепочку (комментатор).

Для защитников вывод такой: ни один из пяти багов не поймали бы механизмы защиты памяти. Это решения по интеграции продукта. Браузер доверяет origin'ам, которыми владеет Microsoft, настолько, что пропускает проверки всплывающих окон и origin.