Microsoft Edgeの同一生成元ポリシーを迂回可能なバグ

headless曰く、　Microsoft Edgeの同一生成元ポリシー（SOP）を迂回し、別のドメインからCookieやログイン情報などを取得できるバグが発見された（Broken Browser、Register、On MSFTの記事[1]、[2]、Neowin）。

　Microsoft EdgeやInternet Explorerには、サーバーリダイレクトの途中でwindow.locationの内容を書き換えると、リダイレクト先をリクエスト元と認識するバグがあるのだという。これをリダイレクト先ページ内のiframeに適用し、locationにデータURIスキームでJavaScriptコードを指定すれば、ほぼ親ドキュメント（リダイレクト先ページ）のコンテキストでコードが実行できるとのこと。ただし、リダイレクト先の読み込みが開始される前にlocationを書き換えてしまうと予期した通りの動作をしない。そのため、PoCではアラートを表示してコードの実行を待機させている。

　PoCとしては、TwitterやFacebookのログインページにリダイレクトしてブラウザーが保存したログイン情報を表示するものや、Google reCAPTCHAのページにリダイレクトしてCookieを表示するもの、リファラーをmicrosoft.comに偽装するものが公開されている。コードを一部変更することで、Internet Explorerでも動作するようだ。

　なお、テストした環境（Windows 10 Creators Update）ではFacebookのログイン情報が取得できず、Twitterは空のユーザー名とパスワードが表示されることもあった。また、Broken Browserの記事に掲載されているスクリーンショットとは異なり、リファラー偽装のPoC以外ではアドレスバーにURLが表示されず、ページタイトルも「空白のページ」となっていた。

　今回のバグはMicrosoftも認識しているが、修正時期については明言していないようだ。バグを発見したセキュリティ研究者のManuel Caballero氏は、4月にもMicrosoft EdgeでSOPを迂回可能なバグを2件発見しているが、これらは未修正のままだという。ちなみに、昨年12月にCaballero氏が発見したMicrosoft EdgeのSmartScreenに偽URLや偽連絡先を表示可能な問題については、3月の月例更新での修正は迂回方法が同日発見され、さらに5月の月例更新での修正も迂回方法が同日発見されている。

　スラドのコメントを読む | セキュリティセクション | セキュリティ | マイクロソフト | バグ | インターネット | Windows

　関連ストーリー：
Microsoft EdgeのSmartScreenに偽URLや偽連絡先を表示可能な問題 2016年12月16日
セキュリティ企業が開発したChromiumベースの「セキュアな」Webブラウザに脆弱性 2016年02月06日
「WebGL」にセキュリティ問題、規格自体の大規模な修正が必要に？ 2011年05月12日
重大な脆弱性に対応したIEの緊急パッチリリース 2004年02月03日
IEに「緊急」の脆弱性、任意のコードが実行される恐れ 2003年08月22日