📸 Créditos da imagem: reprodução / Tecmundo
Resumo da descoberta
Um pesquisador da equipe DEVCORE, Orange Tsai, revelou uma série de falhas lógicas no navegador Microsoft Edge que permitiram a execução de código malicioso a partir de uma página web. A vulnerabilidade, demonstrada em maio, transformou comandos simples em ações executadas fora do ambiente protegido do Windows.
Competição e premiação
Durante a competição Pwn2Own em Berlim, Tsai ganhou 175 mil dólares, equivalente a cerca de R$ 942 mil, ao expor a falha em um artigo técnico publicado no dia 28. A Microsoft corrigiu as vulnerabilidades no dia seguinte, garantindo que usuários atualizados estejam seguros.
Como funcionou a exploração
Ao explorar a ferramenta de autenticação de contas do Edge, o atacante iniciou uma nova navegação desvinculada da página original, vinculando-a à aba aberta. Em seguida, foram usadas quatro fragilidades adicionais para evitar verificações de segurança, contornar bloqueadores de pop‑up, aproveitar o login automático e extrair dados de e‑mail.
Correções e impacto
A Microsoft lançou a correção em 15 de maio na versão 148.0.3967.70 do Edge, resolvendo os CVEs 2026‑45492, 2026‑45494 e 2026‑45495. Usuários que mantiveram o navegador atualizado não enfrentam riscos.
Importância das demonstrações públicas
Organizadores da iniciativa destacam que demonstrações em eventos oficiais expõem pontos cegos que fabricantes corrigem rapidamente, antes que criminosos reais possam explorá‑los.
📰 Leia a notícia completa em: Tecmundo »