纯逻辑链攻破 Edge：四个逻辑漏洞换二十万美元
来源：blog.orange.tw — 2026-10-28
📋 概述
Orange Tsai 公布他为 Pwn2Own Berlin 2026 做的手工漏洞链：五个 bug 加两个 Windows 特性，全程只有逻辑漏洞，没有内存破坏，也没有用 AI，最终以四个逻辑漏洞串成 Edge 的沙箱逃逸，拿到十七万五千美元与 17.5 分 Master of Pwn，并获今年 Pwnie Awards 的 Epic Achievement。起点是 Chromium 的 Navigation Throttles——三千多个已修 CVE 里与之相关的不到二十个，是少人打量的角落。他发现 Edge 的 Entra ID 引导 throttle 会用查询串里的 URL 发起一次浏览器进程内的新导航。
🔑 核心要点
入口选得刁：五年三千多个 Chrome CVE 里，与 Navigation Throttles 相关的不超过二十个
触发条件不复杂：从 login.live.com 起导航到 guidance-ca-error 并带上 email 与 switch_profile
危险点在于浏览器进程替渲染进程发起导航，能跳到 edge://settings、devtools:// 甚至 javascript:
UXSS 的形成机制：Navigate 未指定 source_contents 时就取当前活动标签页 ，于是目标页与原页脱钩
作者起初没当回事，在笔记里躺了好几周才回头 ，转折点是意识到浏览器与渲染进程之间没有绑定关系
整条链的定位很明确：没有任何内存破坏，全部由逻辑缺陷拼成 ，这也正是它拿到 Pwnie 的原因
💡 金句
I think I should still dump some of my work once in a while, even though it feels like fewer and fewer people actually sit down and read articles these days (or maybe now they all leave it to their agents XD).
👍 0
❤️ 点赞
👎 0
沉底
← 返回 Lobsters 首页