Nghiên cứu viên bóc tách lỗ hổng logic trong Microsoft Edge, thắng 175.000 USD
"A security researcher demonstrated a complex exploit chain affecting Microsoft Edge, achieving code execution without relying on memory corruption vulnerabilities. The attack leveraged multiple logic flaws in Edge and Windows, culminating in a sandbox escape and arbitrary file write. Microsoft addressed the vulnerabilities with fixes in Edge version 148.0.3967.70 (CVE-2026-45492, CVE-2026-45494, CVE-2026-45495)."
Lỗ hổng cho phép thực thi mã từ xa thông qua lỗi logic trong trình duyệt, bỏ qua sandbox bảo vệ. Điều này có thể dẫn đến kiểm soát toàn bộ hệ thống.
Các doanh nghiệp Việt Nam sử dụng Edge cần cập nhật ngay lập tức để tránh mất dữ liệu, gián đoạn hoạt động do tấn công từ xa. Lỗ hổng này đặc biệt nguy hiểm vì không cần kỹ năng khai thác bộ nhớ phức tạp.
Một nhà nghiên cứu bảo mật đã chứng minh cách khai thác chuỗi lỗi logic trong Microsoft Edge để thực thi mã ngoài sandbox, không cần đến lỗi tràn bộ nhớ. Orange Tsai của DEVCORE công bố phương pháp này ngày 28/10, sau khi chuỗi tấn công thắng 175.000 USD tại Pwn2Own Berlin hồi tháng 5. Microsoft đã vá các lỗ hổng này trong Edge phiên bản 148.0.3967.70 (CVE-2026-45492, CVE-2026-45494, CVE-2026-45495).
Sandbox của trình duyệt là lớp bảo vệ ngăn mã trang web truy cập phần còn lại của máy tính. Vượt qua sandbox và chạy chương trình là cách biến lỗ hổng web thành quyền kiểm soát toàn bộ hệ thống. Thông thường, việc này cần lỗi tràn bộ nhớ, nhưng trường hợp này chỉ dùng lỗi logic.
Tsai mô tả chuỗi tấn công dưới 100 dòng code, tạo ra một primitive UXSS (cross-site scripting) – cho phép chạy JavaScript trên bất kỳ trang web nào, bỏ qua chính sách bảo mật. Tấn công bắt đầu từ chính quy trình trình duyệt, nên có thể tiếp cận các trang như google.com mà lỗ hổng web thông thường không làm được. Tsai gọi đây là một bề mặt tấn công mới, không phải lỗi đơn lẻ.
Đây là khai thác trong môi trường thi đấu, chưa thấy sử dụng ngoài thực tế. Tsai trình diễn tại Pwn2Own; chưa có bằng chứng về việc tấn công người dùng thật. Một bước trong chuỗi tấn công khởi động lại trình duyệt, nhưng không cần thiết trong tấn công thực tế.
Chuỗi bắt đầu với tính năng sign-in doanh nghiệp của Edge, gọi là conditional access navigation throttle. Tsai phát hiện việc kích hoạt tính năng này cho phép trình duyệt mở một navigation mới không liên kết với trang ban đầu, và Edge gắn nó vào tab đang mở. Sự không khớp này tạo ra UXSS. Để tấn công không cần click, cần thêm bốn lỗ hổng nữa. Edge kiểm tra nguồn gốc yêu cầu từ Microsoft, nhưng Tsai bỏ qua bằng cách mở yêu cầu từ cửa sổ thứ hai. Popup blocker của Edge đáng lẽ phải chặn cửa sổ này, nhưng Edge có danh sách cho phép địa chỉ cố định, và một địa chỉ trong danh sách này cho phép popup. Tấn công cũng cần người dùng đã đăng nhập, tính năng auto-sign-in của Edge tự động thực hiện khi truy cập trang Microsoft. Cuối cùng, chuỗi đọc địa chỉ email từ assets.msn.com, trả về bất kỳ trang web nào do cấu hình cross-origin sai.
Để thoát sandbox, Tsai dùng chế độ đọc của Edge (Immersive Reader), chạy dưới địa chỉ read:// mà Microsoft không chặn script. Từ đó, chuỗi gọi hàm nội bộ của Edge để nén log, lợi dụng để ghi file tùy ý lên bất kỳ vị trí nào trên đĩa. File này được chuyển thành code thực thi bằng cách ghi đè file cấu hình điều khiển protocol handler, sau đó khởi động lại Edge. Cuối cùng, nó mở liên kết telnet://; vì Windows không có telnet, hệ thống tìm kiếm trong PATH và chạy bản attacker-planted từ thư mục người dùng có quyền ghi.
Microsoft vá lỗi ngày 15/5, một ngày sau cuộc thi. Bản cập nhật 148.0.3967.70 chứa ba bản vá liên quan đến Edge: CVE-2026-45492, CVE-2026-45494 và CVE-2026-45495. Microsoft đánh giá hai lỗi đầu ở mức 5.4/10, mức trung bình cho một lỗi đơn lẻ, không phải chuỗi tấn công hoàn chỉnh. DEVCORE cho biết bản vá được phát hành trong vòng 24 giờ sau khi báo cáo.
Câu hỏi thường gặp
Lỗ hổng này ảnh hưởng đến những phiên bản Edge nào?
Lỗ hổng này ảnh hưởng đến các phiên bản Edge trước 148.0.3967.70. Microsoft đã phát hành bản vá trong phiên bản này.
CVE-2026-45492, CVE-2026-45494 và CVE-2026-45495 là gì?
Đây là mã định danh cho các lỗ hổng cụ thể được vá trong bản cập nhật Edge 148.0.3967.70. CVE-2026-45492 là lỗi bypass bảo mật, CVE-2026-45494 là lỗi spoofing.
Chuỗi tấn công này có được sử dụng ngoài thực tế không?
Hiện tại chưa có bằng chứng cho thấy chuỗi tấn công này đã được sử dụng để tấn công người dùng thật. Nó được trình diễn trong môi trường thi đấu Pwn2Own.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này cho thấy tầm quan trọng của việc kiểm tra logic ứng dụng, ngay cả khi không có lỗi tràn bộ nhớ. Các doanh nghiệp Việt Nam sử dụng Edge nên cập nhật lên phiên bản mới nhất. Điểm đáng chú ý là chuỗi tấn công này không cần kỹ năng khai thác bộ nhớ phức tạp, cho thấy nguy cơ từ các lỗi logic có thể cao hơn dự đoán.