KLA11084
Microsoft Edge ve Microsoft Internet Explorer'daki birden çok güvenlik açığı

Microsoft Internet Explorer ve Microsoft Edge'de birden çok ciddi güvenlik açığı bulundu. Kötü amaçlı kullanıcılar, ayrıcalıklar elde etmek, güvenlik sınırlamalarını atlamak, isteğe bağlı kod çalıştırmak ve hassas bilgiler edinmek için bu güvenlik açıklarından yararlanabilir.

Aşağıda güvenlik açıklarının tam listesi:

1. Microsoft Edge'de sanal alanın yanlış bir şekilde ele alınması, ayrıcalıklar elde etmek için yerel olarak kullanılabilir.
2. UMCI'nin (Kullanıcı Modu Kodu Bütünlüğü) politikalarının yanlış bir şekilde doğrulanması, bir kullanıcıyı özel olarak tasarlanmış bir web sitesini ziyaret etmeye ve güvenlik kısıtlamalarını atlamak için kötü amaçlı bir uygulama çalıştırmaya ikna ederek yerel olarak kullanılabilir.
3. JavaScript motorlarındaki bellekteki nesnelerin yanlış işlenmesiyle ilgili birden fazla güvenlik açığı, özel olarak tasarlanmış bir web sitesi, tarayıcı oluşturma altyapısını barındıran Microsoft Office belgesi veya rasgele kod yürütmek üzere bir uygulamada "başlatma için güvenli" işaretli katıştırılmış ActiveX denetimi aracılığıyla uzaktan kullanılabilir.
4. Microsoft Edge JIT (Just-In-Time) derleyicisi tarafından derlenen koddaki belleğe erişimin yanlış bir şekilde ele alınmasıyla ilgili ACG (Keyfi Kod Koruması) baypas güvenlik açığı, güvenlik kısıtlamalarını atlamak için özel olarak tasarlanmış bir web sitesi aracılığıyla uzaktan kullanılabilir;
5. Microsoft Edge'deki JavaScript parametrelerinin hatalı bir şekilde doğrulanması ve dezenfekte edilmesi, bir kullanıcıyı, imtiyaz kazanmak için kötü amaçlı bir web sitesinde barındırılan özel olarak tasarlanmış bir bağlantıyı tıklatmaya ikna ederek uzaktan kullanılabilir.
6. Microsoft Edge'deki bazı işlevlerde bellekte nesnelerin yanlış işlenmesiyle ilgili birden fazla güvenlik açığı, bir kullanıcıyı hassas bilgiler elde etmek için özel olarak tasarlanmış bir web sitesini görüntülemeye ikna ederek uzaktan kullanılabilir.
7. Microsoft Edge'deki etki alanları arası politikaların uygunsuz bir şekilde uygulanması, bir kullanıcının özel olarak tasarlanmış bir sayfayı yüklemesine veya güvenlik kısıtlamalarını atlamak için kötü amaçlı bir web sitesini ziyaret etmeye ikna ederek uzaktan kullanılabilir.
8. Microsoft Internet Explorer'daki bellekteki nesnelerin yanlış işlenmesi, bir kullanıcıyı isteğe bağlı kod yürütmek için özel olarak tasarlanmış bir web sitesini görüntülemeye ikna ederek uzaktan kullanılabilir.
9. Bellekteki nesnelerin yanlış işlenmesiyle ilgili birden fazla güvenlik açığı, bir kullanıcıyı isteğe bağlı kod çalıştırmak için özel olarak tasarlanmış bir web sitesini görüntülemeye ikna ederek uzaktan kullanılabilir.
10. Chakra komut dosyası altyapısındaki bazı işlevlerde bellekte bulunan nesnelerin yanlış işlenmesi, bir kullanıcının hassas bilgileri elde etmek için özel olarak tasarlanmış bir web sitesini görüntülemeye ikna ederek uzaktan kullanılabilir.
11. Microsoft Edge'deki Microsoft komut dosyalama motorlarında bellekte bulunan nesnelerin yanlış işlenmesi, özel olarak tasarlanmış bir web sitesi, tarayıcı oluşturma altyapısını barındıran Microsoft Office belgesi veya rasgele kod yürütmek için bir uygulamada "başlatma için güvenli" olarak işaretlenmiş yerleşik ActiveX denetimi aracılığıyla uzaktan kullanılabilir. ;
12. Etkilenen senaryolardaki dizelerin yanlış bir şekilde doğrulanması, hassas bilgiler elde etmek için özel olarak tasarlanmış bir web sitesi aracılığıyla uzaktan kullanılabilir.
13. Microsoft Edge'de bellekteki nesnelerin yanlış işlenmesiyle ilgili birden çok güvenlik açığı, bir kullanıcıyı isteğe bağlı kod yürütmek için özel olarak tasarlanmış bir web sitesini görüntülemeye ikna ederek uzaktan kullanılabilir.
14. Chakra JavaScript komut dosyası altyapısındaki bellekteki nesnelerin yanlış işlenmesi, keyfi kod yürütmek için uzaktan kullanılabilir.

Teknik detaylar

Güvenlik açıklarından (9) ve (13) yararlanmak için, bir saldırgan e-posta veya anlık ileti yoluyla kötü amaçlı web sitesine bir URL gönderebilir.

Savunmasızlıktan (12) yararlanma, saldırganların hafızadan hassas verileri almasına ve muhtemelen ASLR'yi (Adres Alanı Düzeni Randomizasyon) atlamasına olanak tanır.

Microsoft Edge
Microsoft Internet Explorer 9'dan 11'e kadar olan sürümler

Windows Güncellemenizde listelenen KB bölümünden gerekli güncellemeleri yükleyin (Windows Update genellikle Kontrol Panelinden erişilebilir)

CVE-2017-8503
CVE-2017-8625
CVE-2017-8634
CVE-2017-8635
CVE-2017-8636
CVE-2017-8637
CVE-2017-8638
CVE-2017-8639
CVE-2017-8640
CVE-2017-8641
CVE-2017-8642
CVE-2017-8644
CVE-2017-8645
CVE-2017-8646
CVE-2017-8647
CVE-2017-8650
CVE-2017-8651
CVE-2017-8652
CVE-2017-8653
CVE-2017-8655
CVE-2017-8656
CVE-2017-8657
CVE-2017-8659
CVE-2017-8661
CVE-2017-8662
CVE-2017-8669
CVE-2017-8670
CVE-2017-8671
CVE-2017-8672
CVE-2017-8674

CVE-2017-8674
CVE-2017-8672
CVE-2017-8671
CVE-2017-8670
CVE-2017-8669
CVE-2017-8662
CVE-2017-8661
CVE-2017-8659
CVE-2017-8657
CVE-2017-8656
CVE-2017-8655
CVE-2017-8653
CVE-2017-8652
CVE-2017-8651
CVE-2017-8650
CVE-2017-8647
CVE-2017-8646
CVE-2017-8645
CVE-2017-8644
CVE-2017-8642
CVE-2017-8641
CVE-2017-8640
CVE-2017-8639
CVE-2017-8638
CVE-2017-8637
CVE-2017-8636
CVE-2017-8635
CVE-2017-8634
CVE-2017-8625
CVE-2017-8503

4034681
4034674
4034733
4034665
4034664
4034660
4034658
4034668