Microsoft Edge’i Yalnızca Mantık Hatalarıyla Çözen Araştırmacı, 175.000 Dolarlık Pwn2Own Kazanımını Açıkladı.

Görsel Kaynağı: The Hacker News

Mantık zafiyetlerinden oluşan bir zincir, bellek bozması olmadan, kötü amaçlı bir web sayfasının Microsoft Edge’in kumbara (sandbox) dışında bir Windows bilgisayarda kod çalıştırmasına olanak tanıyabiliyor; güvenlik araştırmacısı bunu gösterdi.

DEVCORE’ dan Orange Tsai, zincirin mayıs ayında Pwn2Own Berlin yarışmasında 175.000 dolar kazanmasından beş ay sonra, 28 ekim tarihinde tam yöntemi yayımladı. Microsoft, Edge’deki açıkları yarışmanın ertesi günü düzeltti; bu nedenle güncel bir tarayıcı risk altında değil.

Tarayıcı kumbarası, bir web sayfasının kodunu tarayıcının içinde tutup bilgisayarın geri kalanından izole eden duvardır. Buradan çıkmak ve ardından bir program çalıştırmak, bir web açığını makinenin tam kontrolüne dönüştüren şeydir.

Bu tür tarayıcı kaçışları neredeyse her zaman bellek bozmasına dayanır. Bu saldırıda ise hiçbiri kullanılmadı. Tsai, yazısında zincirin yalnızca Edge’in ve Windows’un sıradan özellikleri nasıl işlediğine dair mantık hatalarından oluşturulduğunu belirtiyor ve tüm exploit’in 100 satırdan az kod içerdiğini söylüyor.

Elde edilen sonuç, içerik güvenlik politikasını (CSP) atlayan ve herhangi bir web sitesinde JavaScript çalıştırmaya yarayan evrensel bir site-arası komut dosyası enjeksiyonu (UXSS) ilkesi.

Saldırı tarayıcının kendi sürecinden başladığı için, sıradan bir web açığının dokunamadığı google.com gibi sitelere ulaşabilir. Tsai, bunu tek seferlik bir açık yerine yeni bir saldırı yüzeyi olarak adlandırıyor.

Bu bir yarışma exploit’i; gerçek dünyada görülen bir saldırı değil. Tsai, onu Pwn2Own sahnesinde gösterdi; gerçek kullanıcılara karşı kullanıldığına dair bir kanıt yok ve kamu CVE kayıtları sömürülmeyi “yok” olarak listeliyor. Zincirin bir adımı tarayıcıyı yeniden başlatır; Tsai bunun yarışma için bir kolaylık olduğunu, gerçek bir saldırıda gerekmediğini not düşüyor.

Zincir, girişim hesapları için kullanılan ve koşullu erişim gezinme hızlandırıcısı (conditional access navigation throttle) olarak adlandırılan bir Edge özelliğiyle başlar. Tsai, bunun tetiklenmesinin tarayıcının kendi sürecinin, kendisini isteyen sayfa ile ilişkilendirilmeyen yeni bir gezinme başlatabileceğini buldu; bu nedenle Edge bunu açık olan sekmeye bağlar. Bu uyumsuzluk ilk açık ve UXSS’i üretiyor.

Tıklamadan çalıştırabilmek için dört ek zayıf nokta daha gerekiyordu. Edge, isteğin güvenilir bir Microsoft sitesinden geldiğini doğruluyordu ancak Tsai isteği ikinci bir pencereden açarak bu kontrolü atladı. Edge’in açılır pencere engelleyicisi bu pencereyi durdurması gerekiyordu, ancak Edge’de sabit kodlanmış bir izin listesi vardı ve bunlardan biri açılır pencereyi açtı.

Saldırı, kurbanın önceden giriş yapmış olmasını da gerektiriyordu; bu, Edge’in otomatik giriş özelliği kullanıcının bir Microsoft sitesini ziyaret ettiğinde kendi başına sağlıyor. Son olarak zincir, kurbanın e-posta adresini microsoft.com alan adından okuyor; assets.msn.com, yanlış yapılandırılmış kökenler arası bir ayar nedeniyle bu adresi herhangi bir web sitesine geri döndürüyordu.

Her yerde JavaScript çalıştırmak hâlâ bilgisayarın kontrolü altında olmak anlamına gelmiyor. Kumandan kaçmak için Tsai, Edge’in okuma modu olan ve Microsoft’un script çalıştırmanın yasak olduğu sayfalar listesine ekmediği özel bir read:// adresi altında çalışan Immersive Reader’ı kullandı.

Buradan zincir, tanısal günlükleri sıkıştırmak için tasarlanmış dahili bir Edge fonksiyonunu çağırdı ve disk üzerinde saldırganın seçtiği ad ve içerikle bir dosya yazmak için bunu kötüye kullandı.

Bu dosya yazma işlemi iki adımda kod çalıştırma haline getiriliyor. Zincir, hangi web sitelerinin hangi protokol işlecini başlatabileceğini kontrol eden bir yapılandırma dosyasını üzerine yazıyor, sonra dosyanın okunması için Edge’i yeniden başlatıyor. Sonra bir telnet:// bağlantısını başlatıyor; Windows telnet programını varsayılan olarak sağlamadığı için sistem yolunda bir tanesini arıyor ve düşük ayrıcalıklı kullanıcının yazabileceği bir klasörden saldırganın yerleştirdiği bir kopyayı çalıştırıyor.

Microsoft düzeltmeyi yarışmanın ertesi günü, 15 Mayıs’ta, Edge Stable 148.0.3967.70 sürümünde yayımladı. Bu sürüm, CVE-2026-45492, CVE-2026-45494 ve CVE-2026-45495 olarak takip edilen üç Edge’e özgü düzeltme içeriyordu. İlki bir güvenlik özelliği atlatması olarak, ikincisi ise bir aldatma hatası olarak kaydedildi; ikisi de 148.0.3967.70’den önceki Edge sürümlerini etkiliyor.

Microsoft’un kayıtları ilk ikisini 10 puanlık ölçekte 5.4 olarak değerlendiriyor; bu orta bir puan olup yalnızca izole bir hatayı, bunları kod çalıştırma zincirine dönüştüren tam zinciri yansıtmiyor. DEVCORE, düzeltmenin açıklamadan 24 saat içinde geldiğini belirtti.

Edge’in güncellenmesi bu zinciri kapatır. Çözüm Mayıs ayında yayımlandığından, otomatik güncellemelerle çalışan bir tarayıcı bu düzeltmeyi uzun zamandır aldı ve ayrı bir eyleme gerek yok.

Tsai, zinciri yaklaşık iki ay boyunca elle kurdu ve herhangi bir yapay zekâ yardımı almadan, çalışmayı insan araştırmasının hâlâ önemli olduğu noktaya dair bir mesaj olarak çerçeveliyor. “Zor kısım onları bulmak; hepsini bulduktan sonra zincire bağlamak en kolay kısım,” mantık hataları hakkında yazıyor. Araştırma, 2026 Pwnie Ödülü’nün “Süper Başarı” kategorisinde kazandı.