IT之家 10 月 14 日消息，科技媒體 bleepingcomputer 昨日（10 月 13 日）發(fā)布博文，報(bào)道稱微軟為應(yīng)對(duì)利用零日漏洞發(fā)起的網(wǎng)絡(luò)攻擊，近期宣布調(diào)整 Microsoft Edge 瀏覽器受，嚴(yán)格限制其 Internet Explorer（IE）模式的便捷訪問方式。
IT之家援引博文介紹，此舉主要是防范黑客利用 Chakra JavaScript 引擎中的一個(gè)未修復(fù)零日漏洞發(fā)起攻擊。微軟 Edge 安全團(tuán)隊(duì)負(fù)責(zé)人 Gareth Evans 指出，情報(bào)顯示攻擊者正濫用 IE 模式來入侵毫無戒備的用戶設(shè)備，因此必須采取措施。
據(jù)微軟披露，攻擊者首先會(huì)構(gòu)建一個(gè)看似官方的欺詐網(wǎng)站，然后通過社會(huì)工程學(xué)手段誘導(dǎo)訪問者。網(wǎng)站會(huì)彈出界面元素，提示用戶在 IE 模式下加載頁面。
一旦用戶照做，攻擊者便會(huì)觸發(fā) Chakra 引擎中的零日漏洞，獲得遠(yuǎn)程代碼執(zhí)行權(quán)限。緊接著，攻擊者還會(huì)利用第二個(gè)漏洞進(jìn)行提權(quán)，從而逃離瀏覽器沙盒，實(shí)現(xiàn)對(duì)設(shè)備的完全控制。
微軟為有效遏制此類攻擊，已移除了瀏覽器工具欄上的專用按鈕、右鍵上下文菜單以及主菜單中的相關(guān)選項(xiàng)等多種便捷激活 IE 模式的方式。
這項(xiàng)調(diào)整的核心目的，是確保激活 IE 模式成為一種用戶深思熟慮后的“有意行為”，而非在誘導(dǎo)下輕易完成的操作。通過強(qiáng)制用戶預(yù)先審批允許在 IE 模式下加載的網(wǎng)站列表，攻擊者成功利用此漏洞的難度將大幅增加。
調(diào)整后，普通用戶若需使用 IE 模式，必須手動(dòng)導(dǎo)航至“設(shè)置 > 默認(rèn)瀏覽器 > 允許”，并在其中明確添加需要使用該模式加載的網(wǎng)頁地址。微軟強(qiáng)調(diào)，這些限制措施不適用于商業(yè)用戶，通過企業(yè)策略統(tǒng)一配置 IE 模式的組織將可以繼續(xù)照常使用。