Chỉ với lỗi logic: Cách chuyên gia bẻ khóa Microsoft Edge tại Pwn2Own với giải thưởng 175.000 USD

Tại cuộc thi Pwn2Own Berlin diễn ra vào tháng 5/2026, chuyên gia bảo mật Orange Tsai từ DEVCORE đã gây ấn tượng mạnh khi giành giải thưởng 175.000 USD nhờ việc bẻ khóa thành công trình duyệt Microsoft Edge. Điểm đáng chú ý nhất của nghiên cứu này là toàn bộ quá trình khai thác không hề sử dụng các lỗi hỏng bộ nhớ (memory corruption) truyền thống, mà dựa hoàn toàn vào chuỗi các lỗi logic.

Cơ chế tấn công không cần memory corruption

Thông thường, việc thoát khỏi sandbox của trình duyệt để thực thi mã trên máy tính người dùng đòi hỏi các kỹ thuật khai thác memory corruption phức tạp. Tuy nhiên, Tsai đã chứng minh rằng một chuỗi các lỗi logic trong cách Edge và Windows xử lý các tính năng thông thường cũng có thể đạt được mục tiêu tương tự. Toàn bộ mã khai thác (exploit) của ông chỉ gói gọn trong chưa đầy 100 dòng code.

Chuỗi tấn công này tạo ra một primitive universal cross-site scripting (UXSS), cho phép kẻ tấn công thực thi JavaScript trên bất kỳ trang web nào, qua đó bypass các chính sách bảo mật nội dung (Content Security Policy). Vì cuộc tấn công bắt đầu từ chính tiến trình của trình duyệt, nó có thể truy cập vào các trang web nhạy cảm mà các lỗi web thông thường không thể chạm tới.

Các bước thực hiện chuỗi khai thác

Chuỗi tấn công bắt đầu bằng việc lợi dụng tính năng conditional access navigation throttle trong Edge. Tsai phát hiện ra rằng việc kích hoạt tính năng này cho phép trình duyệt khởi tạo một tiến trình điều hướng mới không liên kết với trang gốc, dẫn đến sự nhầm lẫn trong việc gắn thẻ (tab), từ đó tạo ra lỗ hổng UXSS.

Để tự động hóa quá trình mà không cần người dùng tương tác, Tsai đã kết hợp thêm 4 điểm yếu khác:

• Bypass kiểm tra nguồn gốc: Edge kiểm tra xem yêu cầu có đến từ trang web tin cậy của Microsoft hay không, nhưng Tsai đã vượt qua bằng cách mở yêu cầu từ một cửa sổ thứ hai.
• Vượt qua chặn popup: Tận dụng danh sách các địa chỉ được cho phép (hardcoded) trong Edge để mở cửa sổ popup.
• Tận dụng tính năng tự động đăng nhập: Sử dụng cơ chế auto-sign-in của Edge khi người dùng truy cập trang web Microsoft.
• Rò rỉ thông tin: Khai thác cấu hình sai cross-origin trên assets.msn.com để lấy địa chỉ email của nạn nhân.

Sau khi có quyền thực thi JavaScript, Tsai đã lợi dụng tính năng Immersive Reader của Edge để thoát khỏi sandbox, sau đó lạm dụng một hàm nội bộ dùng để nén log chẩn đoán nhằm ghi file tùy ý vào hệ thống. Cuối cùng, kẻ tấn công ghi đè lên file cấu hình để khởi chạy một liên kết telnet://, buộc Windows tìm kiếm và thực thi một chương trình giả mạo do kẻ tấn công đặt sẵn.

Khuyến nghị bảo mật

Microsoft đã phát hành bản vá cho các lỗ hổng này vào ngày 15/5/2026 trong phiên bản Edge Stable 148.0.3967.70, thông qua các mã định danh CVE-2026-45492, CVE-2026-45494 và CVE-2026-45495. Người dùng chỉ cần đảm bảo trình duyệt đã được cập nhật lên phiên bản mới nhất để được bảo vệ hoàn toàn trước chuỗi tấn công này. Nghiên cứu của Orange Tsai đã được vinh danh với giải thưởng Pwnie Award 2026 cho hạng mục Epic Achievement.

Nguồn tham khảo: The Hacker News