Bir Microsoft Edge güvenlik açığının, bir siber saldırı gerçekleştirmek için manuel giriş gerektiren bir güvenlik baypas hatası olduğu tespit edildi.
Microsoft Edge güvenlik açığı CVE-2023-29345, düşük önem derecesine sahip Chromium tabanlı bir hataydı. Bilgisayar korsanının istismarı, ‘kapsam değişikliğine’ (S:C) yol açabilir, bu da onların yalıtılmış ortamın dışındaki bir sanal alandan kötü amaçlı kod çalıştırabilecekleri anlamına gelir.
Microsoft Edge güvenlik açığı ayrıntıları
Microsoft Edge güvenlik açığını ele alan şirketin raporunda, “Kullanıcının, saldırgan tarafından ele geçirilmesi için özel hazırlanmış bir URL’ye tıklaması gerekir” yazıyordu. Bu nedenle, kötü amaçlı bağlantılara erişmeyerek birinin sisteminin tehlikeye girmesini önlemek mümkündü.
Ayrıca, bu Microsoft Edge güvenlik açığından yararlanılması, sistemden hassas veriler almak için kötü amaçlı komut dosyaları ekleyerek bütünlüğün kaybolmasına neden olabilir. Bilgisayar korsanları, güvenlik açığı bulunan URL ile ilişkili kullanıcının tarayıcısına da erişebilir.
Microsoft Edge uzaktan kod yürütme güvenlik açığı
Microsoft Edge güvenlik açığına CVSS meta-temp puanı 6.0 olarak atandı. Microsoft Edge’deki bu kusur aracılığıyla sistemlerin sömürülmesi hakkında pek bir şey bilinmiyor. Bir Vuldb raporu, “Ne teknik ayrıntılar ne de kamuya açık bir açık var” dedi.
“Bir açıktan yararlanmanın şu anki fiyatı yaklaşık olabilir. 5.000-25.000 ABD Doları (tahmini 06.03.2023 tarihinde hesaplanmıştır),” diye sonlandırdı Vuldb raporu.
Microsoft güvenlik açığı raporu ve önemli bulgular
Microsoft’un yıllar içinde artan sayıda güvenlik açığı bulduğu ve giderdiği bildirildi. Yazılım ürünleri devi Microsoft, son 10 yılda 1.292 güvenlik açığı bildirdi.
2022’de kendilerine en fazla CVE tahsis edilen ilk 20 ürüne odaklanan araştırmaya göre en fazla sayıda güvenlik açığı Android’de bildirildi. Microsoft’un Windows 10’u Windows Server 2008 ile dördüncü sırada yer aldı.
Microsoft tarafından 2021’den 2023’e kadar gözlemlenen istismar
Microsoft, saniye başına parola saldırısı sayısının 2021’de 579’dan 2022’de 921’e ve 2023’ün ilk yarısında 1287’ye yükseldiğini gözlemledi. Parola saldırılarındaki bu önemli artış, parola gücü ve kullanıcılar tarafından sağlanan parola hijyenine işaret ediyor.
Ayrıca kötü amaçlı bağlantılar içerebilecek şüpheli e-postaların da 2021’de 13 milyardan 2022’de 32 milyara ve 2023’ün sadece ilk yarısında 37 milyara çıktığı tespit edildi.
Sinyalleri izlemek için AI kullanımına değinen Microsoft, bloglarından birinde şöyle yazdı: “Sektör lideri AI ile 65 sentezliyoruz. trilyon her tür cihaz, uygulama, platform ve uç nokta genelinde günlük sinyal sayısı, yalnızca iki yıl önce yakalanan 8 trilyon günlük sinyale göre yaklaşık sekiz kat artış.”
Microsoft Edge güvenlik açığı ve daha büyük yama resmi
2022’de yaklaşık 26.448 yazılım güvenlik açığı bildirildi. Kritik güvenlik açıklarının sayısı 2022’de bir önceki yıla göre %59 arttı. Yine de çoğu yazılım müşterisi yamaları zamanında uygulayamıyor.
Örneğin, Microsoft, Aralık 2022’de CVE-2022-37958 ile ilgili bir uyarı yayınladı.
Uyarı, Eylül ayında yamalanan hatanın hala çözülebilir olduğunu açıkça belirtiyor. Ancak, The Cyber Express’in kayıtlı okuyucuları arasında yaptığı bir anket, birçok kişinin hatadan habersiz olduğunu ortaya çıkardı.