CVE-2024-21326

Podatność sklasyfikowana jest jako CWE-416 (use-after-free), co oznacza że błąd związany jest z nieprawidłowym zarządzaniem pamięcią — obiekt w pamięci może być używany po jego zwolnieniu, co prowadzi do możliwości wykonania niezamierzonego kodu. Wektor ataku wskazuje na scenariusz sieciowy (AV:N) wymagający interakcji użytkownika (UI:R), co sugeruje że ofiara musi np. odwiedzić specjalnie spreparowaną stronę internetową lub otworzyć złośliwy zasób w przeglądarce. Atak nie wymaga żadnych uprawnień po stronie atakującego (PR:N) i ma zasięg wykraczający poza kontekst przeglądarki (S:C — Scope Changed).

Pomyślne wykorzystanie podatności może pozwolić atakującemu na uzyskanie podwyższonych uprawnień w systemie ofiary, potencjalnie wykraczając poza piaskownicę przeglądarki, co może skutkować naruszeniem poufności, integralności i dostępności danych oraz zasobów systemowych.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o naprawionych wersjach Microsoft Edge dostępne są pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21326. Zaleca się niezwłoczną aktualizację przeglądarki do najnowszej dostępnej wersji.

Microsoft Edge w wersji opartej na silniku Chromium — konkretne wersje podatne wskazane są w referencjach producenta (Microsoft Security Response Center).

Podatność opublikowana 2024-01-26. Pomimo braku wpisu w CISA KEV, krytyczny wynik CVSS 9.6 oraz zmieniony zakres wpływu (Scope Changed) wskazują na potencjalnie poważne konsekwencje — zalecana pilna aktualizacja.