东软NetEye发现微软Microsoft Edge 内存损坏漏洞

近日在微软安全技术中心官网公示了近期被证实的系统漏洞，其中包含2016年末东软NetEye上报的Microsoft Edge 内存损坏漏洞CVE-2017-0034。在漏洞公示页面，微软对帮助其发现系统漏洞的东软等公司表达了谢意：Microsoft extends thanks to the following for working with us to help protect customers.
 

NetEye攻防实验室

东软NetEye攻防实验室主要的研究方向是漏洞分析与挖掘、web安全研究与渗透测试、应用协议分析，以及URL识别和反垃圾邮件防御等。2016年曾为腾讯、Ultraedit、Foxmail、有道词典等公司项目和应用挖掘过漏洞。实验室代表东软为国家互联网提供应急响应支撑工作，多次获得过国家信息安全漏洞共享平台认定的漏洞信息报送突出贡献单位称号。此外，实验室还负责为用户提供一体化的网络安全监测服务、网络问题解决方案服务等。

挖掘目前微软最新的edge浏览器漏洞是NetEye攻防实验室的工作目标之一。实验室去年9月开始编写模糊化测试工具，经过大量的反复测试修改，工具最终在11月成型，并成功在12月挖掘出疑似样本，经过深入分析，找到了可执行任意代码的严重漏洞。
 
该漏洞名为Microsoft Edge 内存损坏漏洞 - CVE-2017-0034。攻击者可能拥有一个利用此漏洞特殊设计的网站，然后通过电子邮件或即时消息进行诱骗，诱使用户查看该网站，成功利用该漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，那么攻击者便可控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。该漏洞的及时发现，极大地降低了微软用户在以上方面存在的安全风险。
 
2017年东软NetEye攻防研究实验室将继续提升核心能力，高质量的分析软件安全问题，提供专业的web安全服务能力，全面感知互联网安全态势。