Le code de preuve de concept pour une exécution de code à distance via Microsoft Edge est publié en ligne
1 minute. lis
Publié le
Partagez cet article
Améliorer ce guide
Lisez notre page de divulgation pour savoir comment vous pouvez aider MSPoweruser à soutenir l'équipe éditoriale En savoir plus
Un nouveau code de preuve de concept d'une exécution de code à distance a été publié en ligne. Le POC illustre un bogue de corruption de mémoire dans le navigateur Web Microsoft Edge. Le code a été publié aujourd'hui par un chercheur qui a découvert le bogue il y a quelque temps.
Le bogue qui a maintenant été corrigé par Microsoft affecte Chakra, le moteur JavaScript qui alimente Edge. Le bogue permettrait à un attaquant d'exécuter sur la machine du code arbitraire avec les mêmes privilèges que l'utilisateur connecté. Le code de preuve de concept comporte 71 lignes et entraîne une fuite de lecture de mémoire hors limites (OOB), mais il peut être repensé pour des résultats plus néfastes.
J'ai publié le PoC pour CVE-2018-8629 : un bogue JIT dans Chakra corrigé dans les dernières mises à jour de sécurité. Il en résultait un R/W relatif (presque) illimité https://t.co/47TIYtVB8f
– Bruno (@bkth_) 27 décembre 2018
Microsoft a résolu ce problème dans le correctif de décembre et il est fortement recommandé aux utilisateurs d'installer les dernières mises à jour cumulatives pour s'assurer qu'ils sont à l'abri des attaques.
Via: Ordinateur Bleeping
