CVE-2019-0990

Microsoft Edge (HTML tabanlı) içerisindeki Chakra betik motorunun bellekteki nesneleri işleme yönteminde bir uzaktan kod çalıştırma zafiyeti bulunmaktadır. Bu zafiyet, bir saldırganın mevcut kullanıcı bağlamında rastgele kod çalıştırabileceği şekilde belleği bozabilir. Zafiyeti başarıyla istismar eden bir saldırgan, mevcut kullanıcı ile aynı kullanıcı haklarını elde edebilir. Mevcut kullanıcı yönetici haklarıyla oturum açmışsa, zafiyeti başarıyla istismar eden bir saldırgan etkilenen sistemin kontrolünü ele geçirebilir. Saldırgan daha sonra programlar yükleyebilir; verileri görüntüleyebilir, değiştirebilir veya silebilir ya da tam kullanıcı haklarına sahip yeni hesaplar oluşturabilir. Web tabanlı bir saldırı senaryosunda, bir saldırgan Microsoft Edge (HTML tabanlı) üzerinden zafiyeti istismar etmek için tasarlanmış özel olarak hazırlanmış bir web sitesini barındırabilir ve ardından bir kullanıcıyı bu web sitesini görüntülemeye ikna edebilir. Saldırgan ayrıca, ele geçirilmiş web sitelerinden ve kullanıcı tarafından sağlanan içeriği veya reklamları kabul eden veya barındıran web sitelerinden yararlanabilir. Bu web siteleri, zafiyeti istismar edebilecek özel olarak hazırlanmış içerikler barındırabilir. Güvenlik güncelleştirmesi, Chakra betik motorunun bellekteki nesneleri işleme yöntemini değiştirerek zafiyeti gidermektedir.