研究者揭示僅靠邏輯缺陷破解 Microsoft Edge，贏得 Pwn2Own $175,000 獎項

一連邏輯缺陷（無記憶體損毀）可將惡意網頁轉變為在 Microsoft Edge 沙盒之外的 Windows 電腦上執行的程式碼，安全研究員已證明。

DEVCORE 的 Orange Tsai 在 10 月 28 日公佈完整方法，距離該漏洞於 5 月在 Pwn2Own Berlin contest 贏得 17.5 萬美元僅五個月。Microsoft 在競賽翌日修復了 Edge 的漏洞，因此更新後的瀏覽器不受風險。

瀏覽器沙盒是將網頁程式碼限制在瀏覽器內、隔離於電腦其餘部份的牆壁。突破沙盒並執行程式，即為將網頁漏洞轉化為對機器的完全控制。

此類瀏覽器逃逸通常幾乎都依賴記憶體損毀。本次則未使用。Tsai 在其 說明檔案 中描述了一連串僅由 Edge 與 Windows 處理常見功能時的邏輯錯誤構成的鏈路，他表示整個漏洞利用程式碼不足 100 行。

結果是一種通用跨站指令碼 (UXSS) 原語：在任何網站上執行 JavaScript 的方法，繞過旨在防止此類攻擊的內容安全政策。

因為攻擊始於瀏覽器自身程序，它可以接觸到像 google.com 這樣的網站，而普通網頁漏洞無法觸及。Tsai 將此稱為新的攻擊面，而非一次性漏洞。

這是競賽漏洞利用，而非實際上線的攻擊。Tsai 在 Pwn2Own 現場演示；沒有證據顯示已對真實使用者使用，公開 CVE 記錄亦列為無利用。鏈路中的一步會重啟瀏覽器，Tsai 指此為競賽方便之舉，實際攻擊並不需要。

該鏈路始於 Edge 為商業登入所提供的「條件存取導航節流」功能。Tsai 發現觸發此功能會讓瀏覽器自身程序啟動一個與請求頁面無關的新導航，Edge 將其附加至任何已開啟的分頁。此不匹配即為第一個漏洞，並產生 UXSS。

為了在未點選的情況下執行，還利用了四個弱點。Edge 檢查請求是否來自受信任的 Microsoft 網站，但 Tsai 透過第二個視窗開啟請求來繞過此檢查。Edge 的彈窗阻擋器本應阻止該視窗，但 Edge 擁有一個硬編碼的允許地址清單，其中之一允許開啟彈窗。

攻擊還要求目標已登入，而 Edge 的自動登入功能會在使用者造訪 Microsoft 網站時自行提供。最後，鏈路從 Microsoft 網站 assets.msn.com 讀取目標的電子郵件地址，由於跨域設定錯誤，該地址會返回給任何網站。

在任何地方執行 JavaScript 仍未能控制整臺電腦。為突破沙盒，Tsai 使用 Edge 的閱讀模式 Immersive Reader，該模式執行於自訂的 read:// 位址，而 Microsoft 將此位址排除在禁止執行指令碼的頁面清單之外。

從那裡，鏈路呼叫了 Edge 內部的壓縮診斷日誌功能，並利用此功能寫入一個由攻擊者選擇名稱與內容的檔案，位置可隨意於磁碟。

該檔案寫入被轉換成兩步驟的程式碼執行。鏈路覆寫了一個控制哪些網站可以啟動哪些協定處理器的設定檔，然後重新啟動 Edge 以便讀取該檔案。接著啟動一個 telnet:// 連結；由於 Windows 預設不附帶 telnet 程式，系統會搜尋路徑尋找並執行攻擊者植入的複本，存放於低許可權使用者可寫入的資料夾。

Microsoft 在 5 月 15 日，競賽結束後的第二天，釋出了修正，於 Edge Stable 版本 148.0.3967.70。該版本包含三項僅適用於 Edge 的修正，分別以 CVE-2026-45492、CVE-2026-45494 和 CVE-2026-45495 追蹤。第一項被記錄為安全功能繞過，第二項為偽造漏洞，兩者皆影響 148.0.3967.70 之前的 Edge 版本。

Microsoft 的紀錄將前兩項評為 5.4（10 分制），屬於中等分數，反映單一漏洞的獨立評價，並未涵蓋完整鏈路將它們串接成程式碼執行。DEVCORE 表示修正於披露後 24 小時內完成。

更新 Edge 即可關閉此鏈路。由於修正於五月釋出，已啟用自動更新的瀏覽器早已接收，無需額外操作。

Tsai 手動構建此鏈路，耗時約兩個月，未使用任何 AI 幫助，並以此作為人類研究仍然重要的例證。『困難之處在於發現它們，一旦全部發現，連結是最簡單的部分，』他在說明邏輯漏洞時寫道。此研究獲得 2026 年 Pwnie Award 的 Epic Achievement。

發現此文章有趣嗎？ 追蹤我們的 Google News、Twitter 和 LinkedIn 以閱讀更多我們發布的獨家內容。