Microsoft Edge: Exploit-Kette aus fünf Logikfehlern
Fünf Logikfehler und zwei Windows-Funktionen reichten in einer Demonstration aus, um aus Microsoft Edge heraus Code auszuführen. Das zeigte der Sicherheitsforscher Orange Tsai bei Pwn2Own Berlin. Die Angriffskette kam ohne Speicherbeschädigung aus. Für Nutzer ist daran entscheidend: Auch ein Browser, dessen Speicherverwaltung einem Angriff standhält, kann über Fehler in seinen Abläufen und Berechtigungen kompromittiert werden.
Der Fall ist deshalb mehr als ein technisches Kunststück. Die Kette verbindet Web-Inhalte mit privilegierten Browser-Funktionen und schließlich der Ausführung von Code unter Windows. Die Schutzgrenzen zwischen diesen Bereichen hielten dem zusammengesetzten Angriff nicht stand. Daraus folgt keine pauschale Warnung vor jeder Edge-Installation. Wohl aber ein guter Grund, Browser-Updates ernst zu nehmen.
Der Angriff nutzt falsche Entscheidungen der Software
Bei einem Speicherfehler bringt ein Angriff etwa die Verarbeitung von Daten im Arbeitsspeicher durcheinander. Hier lag das Problem anders: Der Browser traf an mehreren Stellen falsche Entscheidungen darüber, welche Inhalte wohin navigieren dürfen, welchem Ursprung er vertraut und welche Zugriffe erlaubt sind.
Zur Kette gehörte ein Navigationsfehler im Browser-Prozess, der Universal Cross-Site Scripting, kurz UXSS, ermöglichte. Dahinter steckt ein Bruch der Trennung zwischen Web-Ursprüngen. Diese Trennung soll verhindern, dass Inhalte einer Website unbefugt auf andere zugreifen. Hinzu kamen Schwächen bei der Ursprungsprüfung, der Popup-Blockierung und CORS, einem Mechanismus zur Steuerung von Zugriffen über Ursprungsgrenzen hinweg.
Die wichtige Einordnung: Ein einzelner solcher Fehler erklärt noch nicht die gesamte Wirkung. Gefährlich wurde ihr Zusammenspiel. Eine falsche Freigabe öffnete den Weg zum nächsten Schritt. Wer Browser-Sicherheit nur an der Abwehr von Speicherfehlern misst, übersieht diese Klasse von Angriffen.
Wie aus Browser-Zugriffen Code-Ausführung wurde
Eine zentrale Rolle spielten privilegierte Schnittstellen des Immersive Reader von Edge. Die Angriffskette nutzte sie, um vom Angreifer kontrollierte Dateien zu schreiben. Anschließend veränderte sie Berechtigungen für Protokollhandler und missbrauchte das Windows-Suchverhalten für ausführbare Dateien.
Protokollhandler bestimmen, welches Programm bestimmte Arten von Links oder Aufrufen verarbeitet. Das Suchverhalten wiederum beeinflusst, welche ausführbare Datei Windows bei einem Aufruf findet. In dieser Kette wurden solche Übergänge zum Sicherheitsproblem. Am Ende stand Code-Ausführung – also die Möglichkeit, eigenen Programmcode auf dem betroffenen System laufen zu lassen.
Das ist eine andere Größenordnung als eine manipulierte Darstellung im Browserfenster. Der Angriff durchbrach die vorgesehene Abschottung von Web-Inhalten. Daraus lässt sich allerdings nicht automatisch ableiten, dass der ausgeführte Code Administratorrechte hatte. Code-Ausführung und vollständige administrative Kontrolle sind unterschiedliche Aussagen.
Ein Wettbewerbserfolg, keine Aussage über jeden Rechner
Die Demonstration fand unter Wettbewerbsbedingungen statt. Das ist wichtig: Sie zeigt, dass eine konkrete Kette in diesem Rahmen funktionierte. Sie bedeutet nicht automatisch, dass jeder Rechner mit Edge betroffen ist oder dass derselbe Ablauf außerhalb des Wettbewerbs bereits gegen Nutzer eingesetzt wurde.
Die Demonstration allein sagt weder, welche heute installierte Edge-Version betroffen ist, noch belegt sie laufende Angriffe auf Nutzer. Ebenso wenig liefert sie eine pauschale Entwarnung. Zwischen einer erfolgreichen Wettbewerbsdemonstration, der Behebung einzelner Fehler und dem tatsächlich installierten Update auf einem Rechner muss sauber unterschieden werden.
Was Edge-Nutzer jetzt tun sollten
Die sinnvolle unmittelbare Maßnahme ist unspektakulär: Edge auf verfügbare Updates prüfen und einen erforderlichen Neustart des Browsers nicht aufschieben. Auch Windows sollte aktuell gehalten werden. Die Angriffskette berührt beide Ebenen. Auf verwalteten Firmenrechnern gehört die Kontrolle des Update-Stands zur zuständigen IT.
Ein aktueller Versionsstand ist dabei keine Zusicherung, dass genau diese Kette auf jedem System geschlossen ist. Dafür braucht es eine konkrete Zuordnung der Fehler zu behobenen Versionen. Umgekehrt lässt sich aus dem Wettbewerbserfolg allein keine Empfehlung ableiten, Edge sofort zu deinstallieren.
Die praktische Lehre bleibt klar: Browser-Sicherheit hängt auch daran, wie Funktionen miteinander verbunden sind und wem sie vertrauen. Hier wurden mehrere kleine Fehlentscheidungen zu einem vollständigen Angriff. Updates sind deshalb keine bloße Wartungsroutine. Sie sind die Möglichkeit für Nutzer, korrigierte Sicherheitsgrenzen tatsächlich auf ihren Rechner zu bekommen.
