Uma sequência de falhas lógicas e sem corrupção de memória (erros no funcionamento do programa) permitiu que o navegador Microsoft Edge sofresse uma invasão completa a partir de uma página maliciosa. A brecha transformou códigos simples em comandos executados em um computador com Windows fora do ambiente protegido, em um caso descoberto em maio.
A falha foi demonstrada pelo pesquisador Orange Tsai, integrante da equipe DEVCORE, que publicou a metodologia completa nesta quarta-feira (28) em um artigo técnico. A demonstração rendeu um prêmio de 175 mil dólares (cerca de R$ 942 mil) durante a competição Pwn2Own realizada em Berlim, na Alemanha, conforme detalhado nos registros da Zero Day Initiative (ZDI).
A Microsoft corrigiu as vulnerabilidades no navegador no dia seguinte ao evento, de modo que os usuários com o software atualizado não enfrentam riscos, segundo as notas oficiais de segurança da empresa.
A mecânica da invasão baseada em lógica
O modelo tradicional de invasão de navegadores depende de falhas técnicas complexas de memória para burlar as barreiras do sistema. No entanto, a pesquisa de Orange Tsai utilizou exclusivamente erros simples na forma como o Edge e o Windows gerenciam recursos comuns. Com menos de 100 linhas de código, o programa malicioso conseguiu gerar um mecanismo de execução universal e burlar proteções básicas de segurança.
:quality(85)/7d9c7996-5e16-4d2d-aeb7-28e176e8aff3.png)
