Microsoft Edge: Google が、現在も有効な重大なセキュリティ欠陥を明らかにしました

Google Project Zero は、Edge に重大なセキュリティ上の欠陥があることを明らかにしましたが、Microsoft はまだそれを修正できていません。この欠陥により、悪意のある者が Web ページから任意のコードを実行する可能性があります。 Microsoft は、ブラウザの動作方法に大幅な変更が必要であると主張し、パッチ チューズデー中に修正を組み込む時間がありませんでした。問題が解決されるまでは Edge を使用しないことをお勧めします。

Microsoftは火曜日にパッチを見逃したばかりで、GoogleはEdgeで依然として有効なセキュリティ欠陥の1つを明らかにすることを余儀なくされた。これは、悪意のある人が Windows 10 を実行しているマシン上で Web ページから任意のコードを実行できるため、非常に深刻です。ブラウザは通常、Arbitrary Code Guard によって保護されています。Arbitrary Code Guard は、ブラウザ内で実行するために署名されたコードを必要とする機能です。ただし、ジャストインタイム (JIT) コンパイラーは、署名を必要とせずに新しいブラウザー プロセスでコードを実行する可能性があるため、この保護をバイパスすることができます。

ただし、Microsoft は 90 日前からこの脆弱性を認識していましたが、同社のエンジニアは時間内に欠陥を修正できませんでした。これは、このタスクが見かけよりも複雑であるためです。Microsoft は、自社のコンパイラを新しいサンドボックス環境に移植する必要があると説明しています。正当化するには十分だ」重要なエンジニアリング作業」マイクロソフトによると。しかし、Google プロジェクト ゼロ彼の原則に忠実であり続けているため、とにかく欠陥を明らかにすることを選択しました。 1 つの方法としては、出版社にもっと敏感になるよう促すことが考えられます。 Microsoft は次のように指定しています。チームは[パッチ]が3月13日に配信されると確信しています”。

それで、その間に何をすべきでしょうか？おそらく最も簡単なアドバイスは、Edge を避け、競合するインターネット ブラウザーを使用することです。インターネットを閲覧するだけで、知らないうちにマルウェアがインストールされるという現実的なリスクが確かにあります…