CVE-2023-35618

Podatność związana jest z błędem pamięci sklasyfikowanym jako use-after-free (CWE-416), polegającym na odwołaniu się do obszaru pamięci po jego zwolnieniu. Wektor ataku jest sieciowy i nie wymaga uwierzytelnienia — wystarczy, że użytkownik odwiedzi lub wejdzie w interakcję ze spreparowaną stroną internetową lub treścią. Luka umożliwia przekroczenie granicy izolacji procesu (scope: Changed), co oznacza możliwość wpływu na zasoby wykraczające poza bezpośredni kontekst przeglądarki.

Skuteczne wykorzystanie podatności może pozwolić atakującemu na eskalację uprawnień oraz uzyskanie pełnej kontroli nad poufnością, integralnością i dostępnością systemu, potencjalnie umożliwiając wykonanie kodu w kontekście uprzywilejowanym lub wyrwanie się poza sandbox przeglądarki.

Należy niezwłocznie zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez Microsoft Security Response Center pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35618. Zaleca się aktualizację przeglądarki Microsoft Edge do najnowszej dostępnej wersji.

Microsoft Edge w wersji opartej na silniku Chromium — konkretne wersje wskazane w referencjach producenta (Microsoft Security Response Center).

Podatność została opublikowana 2023-12-07. Informacja o podatności jest również uwzględniona w komunikacie bezpieczeństwa Gentoo Linux (GLSA 202402-05). Brak wpisu w CISA KEV — brak potwierdzenia aktywnej eksploatacji w środowiskach produkcyjnych.