Microsoft Edge קיבל בדצמבר 2023 תיקון לחולשה שהוגדרה כחשיפת מידע, והציון שלה הוא 4.8 מתוך 10. הגרסה שסוגרת אותה היא 120.0.2210.61. מה שמיקרוסופט לא פרסמה הוא מה בדיוק נחשף ואיך, ולכן הדף הזה מתאר את מה שידוע ולא מעבר לזה.

מה החולשה?

חשיפת מידע היא הקטגוריה שבה תוקף מצליח לקרוא משהו שלא היה אמור להיות נגיש לו. זה אינו השתלטות על הדפדפן ואינו שינוי של מה שרץ בו, אלא דליפה של תוכן או של פרטים מצד אחד של גבול שאמור להיות אטום, למשל בין אתר אחד לאתר אחר שפתוח באותו חלון.

הרשומה שמיקרוסופט פרסמה מסתכמת בשורה אחת, שמונה את המוצר ואת סוג החולשה בלי לתאר את המנגנון. אין כאן טעם לנחש מה היה שם.

מה שכן אפשר לקרוא הוא הדירוג, והוא מספר משהו. הניצול מתבצע דרך הרשת, הוא אינו דורש הרשאות ואינו דורש שהמשתמש יעשה דבר, אבל הוא מסומן כקשה לביצוע, כלומר תלוי בתנאים שצריכים להתיישר ואינו דבר שמריצים בלחיצה. במקביל הפגיעה בסודיות המידע ובשלמותו מסומנת כנמוכה, והזמינות אינה נפגעת כלל.

זאת חולשה שמדליפה, לא חולשה שמשתלטת.

מי מושפע?

כל התקנה של Edge בגרסה מוקדמת מ-120.0.2210.61, כלומר כל דפדפן שלא קיבל את עדכון דצמבר 2023. Edge מגיע מותקן עם Windows, ובישראל זה אומר שהוא נמצא בפועל על רוב מחשבי העבודה והבית, גם אצל מי שגולש בדרך כלל במשהו אחר.

ובפרספקטיבה של היום צריך לומר את הדבר הפשוט: Edge מתעדכן אוטומטית, והגרסאות התקדמו מאז בהרבה. מי שהדפדפן שלו מתעדכן כרגיל עבר את הנקודה הזאת מזמן. מי שהדף הזה כן נוגע לו הוא מי שנתקל במספר החולשה ורוצה לדעת מה הוא אומר, ומי שמחזיק מחשב שהעדכונים האוטומטיים שלו מושבתים או חסומים.

לצד הרשומה מופיעה גם הודעת אבטחה של Gentoo, אחת מהפצות לינוקס שארזה את הדפדפן כחבילה משל עצמה. מי שמריץ את Edge דרך הפצה כזאת תלוי בעדכון שלה ולא ישירות במיקרוסופט.

האם מנוצלת בפועל?

אין דיווח מאומת על ניצול. החולשה אינה מופיעה בקטלוג ה-KEV של CISA, סוכנות הסייבר הפדרלית האמריקאית, שבו נרשמות חולשות שיש עדות לשימוש בהן בידי תוקפים.

כאן שווה להוסיף את ממד הזמן. הרשומה פורסמה בדצמבר 2023, וכמעט שלוש שנים אחר כך היא עדיין אינה בקטלוג. אין בזה הבטחה, אבל חולשה שעבר עליה פרק זמן כזה בלי להיכנס לרשימה נמצאת במקום אחר מחולשה שפורסמה השבוע.

מה עושים?

1. בדקו איזו גרסה רצה אצלכם. הקלידו בשורת הכתובת edge://settings/help ואשרו. הדף שנפתח מציג את מספר הגרסה, ובאותה הזדמנות גם בודק אם יש עדכון וממשיך להורדה.

2. השוו את המספר ל-120.0.2210.61. כל מה שגבוה ממנו כבר מכיל את התיקון, והגרסאות של היום רחוקות ממנו מאוד.

3. אם המספר שראיתם נמוך, או אם הדף הזה אומר לכם שהעדכונים מנוהלים בידי הארגון, הבעיה גדולה מהחולשה הזאת: דפדפן שתקוע על גרסה מ-2023 חסר גם את כל התיקונים שהגיעו אחריה. זה מה ששווה לטפל בו, ולא בחולשה הבודדת.

4. פרטי העדכון עצמו, כולל קישור לגרסה המתוקנת, נמצאים בדף של מיקרוסופט. למשתמשי Gentoo הפרטים הם בהודעה של ההפצה.