北京
微軟獲悉黑客正利用Chakra JavaScript引擎中的零日漏洞獲取目標設備訪問權限后，已對Edge瀏覽器的Internet Explorer（IE）模式訪問權限實施限制。
目前，微軟未披露過多技術細節，但表示威脅者將社會工程學手段與Chakra引擎漏洞相結合，實現了遠程代碼執行。
微軟Edge安全團隊負責人Gareth Evans表示：“團隊近期收到情報顯示，威脅者正濫用Edge瀏覽器中的IE模式，非法訪問毫無防備的用戶設備。”
一、IE模式背景：為兼容舊技術保留，卻成攻擊突破口
盡管Internet Explorer的支持服務已于2022年6月15日終止，但微軟Edge瀏覽器仍保留了IE模式——該模式用于兼容部分仍在使用的舊技術（ActiveX控件、Flash插件），這類技術常見于少量企業應用及政府門戶網站。
今年8月，Edge安全團隊發現，威脅者會引導目標用戶訪問“外觀仿官方的偽造網站”，并通過頁面交互元素誘導用戶以IE模式加載該頁面。
在利用Chakra引擎零日漏洞后，攻擊者會進一步利用第二個漏洞提升權限、突破瀏覽器沙箱限制，最終完全控制目標設備。
Evans未提供這兩個被利用漏洞的標識信息，僅透露Chakra引擎的零日漏洞目前尚未修復。
二、防護措施：限制IE模式激活方式，強化用戶操作意圖驗證
為降低風險，微軟已移除Edge瀏覽器中“便捷激活IE模式”的途徑，包括專用工具欄按鈕、右鍵上下文菜單選項及漢堡菜單（右上角三點菜單）中的相關入口。
現在，用戶若需啟用IE模式，需手動進入“設置> 默認瀏覽器> 允許”路徑，手動指定需以Internet Explorer模式加載的網頁。
IE模式
此次權限限制旨在確保IE模式的激活是“用戶有意為之的操作”；此外，通過手動指定“允許以IE模式加載的網站列表”，可大幅降低攻擊者通過偽造網站誘導用戶的成功率。
需注意的是，上述訪問限制不適用于商業用戶（企業用戶）。這類用戶仍可通過企業策略配置，正常使用Edge瀏覽器的IE模式，以保障舊有業務系統的兼容性。
參考及來源：https://www.bleepingcomputer.com/news/security/microsoft-restricts-ie-mode-access-in-edge-after-zero-day-attacks/
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
