d0rb/cve-2024-21388This Python script exploits a vulnerability (CVE-2024-21388) in Microsoft Edge, allowing silent installation of browser extensions with elevated privileges via a private API.
हम उन सभी नागरिकों की सुरक्षित वापसी की मांग करते हैं जिन्हें आतंकवादी समूह हमास ने बंधक बना लिया है। हम तब तक आराम नहीं करेंगे जब तक हर बंधक को रिहा नहीं कर दिया जाता और वह सुरक्षित घर नहीं लौट जाता। आप उन्हें घर वापस लाने में मदद कर सकते हैं। https://stories.bringthemhomenow.net/
यह पायथन स्क्रिप्ट माइक्रोसॉफ्ट एज में एक भेद्यता (CVE-2024-21388) का शोषण करती है, जो एक निजी एपीआई के माध्यम से बढ़े हुए विशेषाधिकारों के साथ ब्राउज़र एक्सटेंशन की मौन स्थापना की अनुमति देती है।
गार्डियो लैब्स ने माइक्रोसॉफ्ट एज में एक भेद्यता की खोज की, जिसे CVE-2024–21388 नामित किया गया। यह दोष किसी हमलावर को एक निजी एपीआई का शोषण करने की अनुमति दे सकता था, जो मूल रूप से विपणन उद्देश्यों के लिए था, उपयोगकर्ता की जानकारी के बिना व्यापक अनुमतियों वाले अतिरिक्त ब्राउज़र एक्सटेंशन को गुप्त रूप से स्थापित करने के लिए। भेद्यता को तुरंत माइक्रोसॉफ्ट को सूचित किया गया, जिससे फरवरी 2024 में एक समाधान हुआ। https://labs.guard.io/cve-2024-21388-microsoft-edges-marketing-api-exploited-for-covert-extension-installation-879fe5ad35ca
भेद्यता किसी भी व्यक्ति को, जिसके पास bing.com या microsoft.com पृष्ठों पर जावास्क्रिप्ट चलाने का तरीका है, बिना उपयोगकर्ता की सहमति या इंटरैक्शन के एज ऐड-ऑन स्टोर से किसी भी एक्सटेंशन को स्थापित करने में सक्षम बनाती है। यह एक "Elevation of Privilege" मुद्दा है जिसे माइक्रोसॉफ्ट सिक्योरिटी रिस्पॉन्स सेंटर (MSRC) द्वारा मध्यम गंभीरता के रूप में वर्गीकृत किया गया है।
स्क्रिप्ट एक निजी ब्राउज़र एपीआई का उपयोग करती है जो विशेषाधिकार प्राप्त माइक्रोसॉफ्ट वेबसाइटों से सुलभ है, ताकि उपयोगकर्ता की सहमति को दरकिनार करते हुए किसी भी वांछित एक्सटेंशन को मौन रूप से स्थापित किया जा सके। एक विशेषाधिकार प्राप्त वेबसाइट जैसे bing.com के संदर्भ में एक स्क्रिप्ट इंजेक्ट करके, शोषण उपयोगकर्ता इंटरैक्शन के बिना चयनित एक्सटेंशन की स्थापना को ट्रिगर करता है।
यह शोषण स्क्रिप्ट केवल शैक्षिक उद्देश्यों के लिए है। इसका उपयोग किसी भी दुर्भावनापूर्ण गतिविधियों के लिए नहीं किया जाना चाहिए।
