A felfedezést a Palo Alto Networks norvég kutatói publikálták, és különösen vállalati környezetben jelenthet komoly kockázatot.
Új kutatás szerint a Microsoft Edge böngésző egy vitatott tervezési döntés miatt a mentett jelszavakat titkosítás nélkül, olvasható formában tölti be a process memóriájába már a böngésző indulásakor.
Mi a probléma?
A kutatás szerint:
👉 a böngésző indulásakor
- az összes mentett jelszó
- automatikusan dekódolásra kerül
- majd plaintext formában a memóriában marad
akkor is, ha:
- a felhasználó nem használta őket
- nem történt autofill
- nem nyitotta meg a password managert
Miért veszélyes ez?
Ha egy támadó:
- adminisztrátori jogosultságot szerez
- vagy memóriát tud olvasni a gépen
akkor:
👉 az Edge memóriájából közvetlenül kiolvashatja a jelszavakat.
Miben más a Chrome?
A Google Chrome eltérően működik.
Chrome:
- csak szükség esetén dekódolja a jelszót
- („on-demand decryption”)
plusz használ:
👉 App-Bound Encryption mechanizmust
ami:
- a dekódolási kulcsot
- a konkrét böngésző folyamathoz köti
így más folyamatok nehezebben férnek hozzá.
Az Edge-ben mi hiányzik?
A kutatás szerint az Edge jelenleg:
❌ nem használ on-demand decryptiont
❌ nem használ App-Bound Encryptiont
Miért félrevezető a felület?
Az Edge password manager kér:
- Windows jelszót
- PIN-t
- biometrikus hitelesítést
amikor a felhasználó meg akar nézni egy jelszót.
DE:
👉 a jelszavak ekkorra már rég dekódolva vannak a memóriában.
A hitelesítés:
- csak a grafikus felületet védi
- nem magát az adatot
Vállalati környezetben még veszélyesebb
Különösen kockázatos:
- Remote Desktop Services (RDS)
- VDI
- shared workstation
- multi-user rendszerek
Miért?
Mert:
👉 több felhasználó Edge folyamata egyszerre fut ugyanazon a gépen.
Ha egy támadó admin jogot szerez:
- több felhasználó jelszavai is kinyerhetők lehetnek
- akár inaktív sessionből is
Mire használható ez?
A támadó:
- e-mail fiókokhoz férhet hozzá
- VPN belépéseket szerezhet
- laterális mozgást végezhet
- domain kompromittálást indíthat
Microsoft reakciója
A Microsoft szerint:
👉 ez „by design”
vagyis:
- a működés szándékos
- nem klasszikus sérülékenység
Microsoft szerint:
ha a támadó már admin jogosultságot szerzett,
akkor a rendszer eleve kompromittálódott.
Miért vitatott ez?
A biztonsági közösség szerint:
a modern támadások jelentős része:
- post-compromise
- laterális mozgás
- credential dumping
alapú.
Vagyis:
👉 az ilyen memóriavédelmek ma már kritikusak.
MITRE besorolás
A támadási technika kapcsolódik:
MITRE ATT&CK
T1555.003:
👉 Credentials from Web Browsers
Mit érdemes tenni?
🔴 Vállalati környezetben
Érdemes felülvizsgálni:
- Edge használatát shared rendszereken
- RDS / VDI környezetet
- admin jogosultságokat
🟠 Javasolt védelem
- EDR használat
- PAM rendszerek
- least privilege
- session isolation
- credential guard megoldások
🟢 Felhasználóknak
Érdemes megfontolni:
- külön password manager használatát
- érzékeny jelszavak Edge-ben nem tárolását
Példák:
- Bitwarden
- 1Password
- KeePass
Kutatóeszköz is megjelent
A kutató egy demonstrációs eszközt is publikált:
👉 amivel ellenőrizhető,
hogy a jelszavak ténylegesen jelen vannak-e plaintextként a memóriában.
A nagyobb tanulság
Ez az eset nagyon jól mutatja:
👉 a „lokális hozzáférés már game over” megközelítés egyre kevésbé elég
A mai támadások:
- laterális mozgásra
- memóriadumpra
- credential theftre
épülnek.
Összegzés
A Microsoft Edge:
- induláskor dekódolja a teljes password vaultot
- plaintextként memóriában tartja
- ezt a Microsoft jelenleg tervezési döntésnek tekinti
👉 vállalati környezetben ez komoly kockázat lehet.
