Beveiligingsonderzoeker Orange Tsai van het Taiwanese bedrijf DEVCORE heeft de volledige methode gepubliceerd achter een exploitketen die Microsoft Edge kraakte zonder ook maar één geheugenfout te gebruiken. De keten leverde hem en zijn team in mei 2026 175.000 dollar op tijdens de Pwn2Own-wedstrijd in Berlijn, en won later ook de Pwnie Award 2026 voor Epic Achievement.
Waar klassieke browserexploits doorgaans leunen op geheugencorruptie, zoals buffer overflows of use-after-free-fouten, bestaat deze keten volledig uit logicafouten: fouten in hoe Edge beslissingen neemt, niet in hoe het geheugen beheert. Tsai bouwde de keten naar eigen zeggen in ongeveer twee maanden, zonder hulp van AI-tools.
De aanval begint bij een functie voor zakelijke aanmeldingen in Edge, de “conditional access navigation throttle”, die een navigatie start die niet gekoppeld is aan de pagina die hem aanroept. Edge koppelt die navigatie in plaats daarvan aan het al openstaande tabblad van het slachtoffer, wat universele cross-site scripting oplevert: script van de aanvaller draait in de context van een willekeurige andere pagina. Edge controleert normaliter of zo’n verzoek van een vertrouwde Microsoft-site afkomt, maar Tsai omzeilde dat door het verzoek vanuit een tweede venster te starten, dat de popupblokkering doorliet omdat het een adres op een hardcoded toegestane lijst opende.
De aanval werkt alleen als het slachtoffer al is ingelogd, wat Edge automatisch doet zodra iemand een Microsoft-site bezoekt. Via een verkeerd geconfigureerde cross-origin-instelling op assets.msn.com kon de keten vervolgens het e-mailadres van het slachtoffer uitlezen. Om uit de sandbox van Edge te ontsnappen, misbruikte Tsai de leesmodus Immersive Reader, die op een eigen read://-adres draait dat niet voorkwam op de lijst van geblokkeerde scriptpagina’s. Daarna zette hij een interne functie voor het comprimeren van diagnostische logbestanden in om een bestand met zelfgekozen naam en inhoud op een willekeurige schijflocatie te schrijven. Dat bestand overschreef een configuratiebestand voor protocolhandlers; na een herstart opende een telnet://-link niet de ingebouwde, standaard ontbrekende Windows-telnetclient, maar een door de aanvaller geplaatst programma uit een map met schrijfrechten voor de gebruiker. Dat leverde codeuitvoering op.
Microsoft verhelpte de drie onderliggende kwetsbaarheden, geregistreerd als CVE-2026-45492, CVE-2026-45494 en CVE-2026-45495, al een dag na de wedstrijd. De patch zit in Edge Stable 148.0.3967.70, uitgebracht op 15 mei 2026, en browsers met automatische updates hebben de fix inmiddels al binnengehaald. Er zijn geen aanwijzingen dat de keten ooit buiten de wedstrijd is misbruikt.
Over het vinden van dit soort fouten zei Tsai: “The hard part is finding them, and once you find them all, chaining is the easiest part.” Voor securityteams laat deze keten zien dat een browser niet alleen tegen geheugenfouten gehard moet worden: ook op zichzelf onschuldige functies, zoals een navigatiesnelkoppeling, een leesmodus en een logcompressor, kunnen samen een volledige aanvalsketen vormen. Wie Edge gebruikt, hoeft door de snelle patch in mei verder weinig te doen dan controleren of automatische updates zijn doorgekomen.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.