IT之家 10 月 14 日消息，科技媒體 bleepingcomputer 昨日（10 月 13 日）發(fā)布博文，報道稱微軟為應對利用零日漏洞發(fā)起的網(wǎng)絡攻擊，近期宣布調(diào)整 Microsoft Edge 瀏覽器受，嚴格限制其 Internet Explorer（IE）模式的便捷訪問方式。
IT之家援引博文介紹，此舉主要是防范黑客利用 Chakra JavaScript 引擎中的一個未修復零日漏洞發(fā)起攻擊。微軟 Edge 安全團隊負責人 Gareth Evans 指出，情報顯示攻擊者正濫用 IE 模式來入侵毫無戒備的用戶設備，因此必須采取措施。
據(jù)微軟披露，攻擊者首先會構(gòu)建一個看似官方的欺詐網(wǎng)站，然后通過社會工程學手段誘導訪問者。網(wǎng)站會彈出界面元素，提示用戶在 IE 模式下加載頁面。
一旦用戶照做，攻擊者便會觸發(fā) Chakra 引擎中的零日漏洞，獲得遠程代碼執(zhí)行權(quán)限。緊接著，攻擊者還會利用第二個漏洞進行提權(quán)，從而逃離瀏覽器沙盒，實現(xiàn)對設備的完全控制。
微軟為有效遏制此類攻擊，已移除了瀏覽器工具欄上的專用按鈕、右鍵上下文菜單以及主菜單中的相關(guān)選項等多種便捷激活 IE 模式的方式。
這項調(diào)整的核心目的，是確保激活 IE 模式成為一種用戶深思熟慮后的“有意行為”，而非在誘導下輕易完成的操作。通過強制用戶預先審批允許在 IE 模式下加載的網(wǎng)站列表，攻擊者成功利用此漏洞的難度將大幅增加。
調(diào)整后，普通用戶若需使用 IE 模式，必須手動導航至“設置 > 默認瀏覽器 > 允許”，并在其中明確添加需要使用該模式加載的網(wǎng)頁地址。微軟強調(diào)，這些限制措施不適用于商業(yè)用戶，通過企業(yè)策略統(tǒng)一配置 IE 模式的組織將可以繼續(xù)照常使用。