Microsoft ограничивает доступ к режиму IE в Edge после атак нулевого дня

Microsoft ограничивает доступ к режиму Internet Explorer в браузере Edge после того, как стало известно, что хакеры используют уязвимости нулевого дня в движке JavaScript Chakra для получения доступа к целевым устройствам.

Технологический гигант не стал раскрывать слишком много технических подробностей, но сообщил, что злоумышленник использовал социальную инженерию в сочетании с эксплойтом в Chakra для удалённого выполнения кода.

«Команда [по обеспечению безопасности Edge] недавно получила информацию о том, что злоумышленники использовали режим Internet Explorer (IE) в Edge для получения доступа к устройствам ничего не подозревающих пользователей», — говорит Гарет Эванс (https://microsoftedge.github.io/edgevr/posts/Changes-to-Internet-Explorer-Mode-in-Microsoft-Edge/), руководитель группы по обеспечению безопасности Microsoft Edge.

Хотя поддержка Internet Explorer прекратилась 15 июня 2022 года, в Microsoft Edge есть режим IE для обеспечения совместимости с устаревшими технологиями (ActiveX и Flash), которые всё ещё используются в небольшом количестве бизнес-приложений и государственных порталов.

В августе команда по обеспечению безопасности Edge узнала, что злоумышленники перенаправляли пользователей на «поддельный сайт, похожий на настоящий», который с помощью элемента интерфейса предлагал пользователям загрузить страницу в режиме IE.

Воспользовавшись уязвимостью нулевого дня в Chakra, злоумышленник применил вторую уязвимость, чтобы повысить привилегии, выйти из браузера и получить полный контроль над устройством.

Эванс не назвал идентификаторы использованных уязвимостей и сказал, что уязвимость в Chakra не устранена.

Чтобы снизить риск, Microsoft удалила способы, которые позволяли активировать режим IE в Edge с помощью простых методов, таких как специальная кнопка на панели инструментов, контекстное меню и пункты в меню-гамбургере.

Пользователи, которые хотят, чтобы режим IE был активен, теперь должны перейти в «Настройки»> «Браузер по умолчанию»> «Разрешить» и определить страницы, которые следует загружать с помощью Internet Explorer.

Настройка границ для режима IE

Новые ограничения направлены на то, чтобы активация режима IE происходила только по инициативе пользователя. Кроме того, список веб-сайтов, разрешённых для загрузки в режиме IE, должен значительно усложнить злоумышленникам задачу взлома.

Эти изменения не коснутся коммерческих пользователей, которые продолжат использовать режим IE, настроенный в соответствии с корпоративными политиками.

Однако Microsoft напомнила пользователям, что им следует перейти с устаревшей веб-технологии в Internet Explorer на современные продукты, которые обеспечивают более высокий уровень безопасности, надёжности и производительности.

Редактор: AndreyEx