CVE-2017-11918
— 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：微软 Edge 浏览器及 ChakraCore 引擎存在远程代码执行漏洞。
💥 **后果**：攻击者可通过恶意网页，在当前用户上下文中执行任意代码。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：ChakraCore JavaScript 引擎处理逻辑存在安全缺陷。
⚠️ **CWE**：数据中未提供具体 CWE 编号。
Q3影响谁？（版本/组件）
📦 **受影响组件**：
- **Microsoft Edge** 浏览器
- **ChakraCore** 引擎（Edge 核心部分）
- **操作系统**：Windows 10, Windows Server 2019
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
- **权限**：以当前登录用户身份运行。
- **数据**：可读取、修改或删除用户数据，甚至控制整个系统。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：
- **认证**：无需认证。
- **配置**：用户只需访问包含恶意代码的网页即可触发。
- **难度**：低，典型的远程利用。
Q6有现成Exp吗？（PoC/在野利用）
💣 **现成 Exp**：
- **Exploit-DB**：编号 43469。
- **SecurityFocus**：编号 102089。
- **状态**：已有公开利用代码参考。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
- 检查浏览器是否为旧版 Edge。
- 确认 ChakraCore 引擎版本是否过时。
- 扫描是否存在针对 JS 引擎的异常内存操作。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：
- **状态**：微软已发布安全公告（MSRC）。
- **行动**：建议立即更新 Windows 10 和 Server 2019 至最新补丁版本。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
- 禁用 JavaScript 功能（影响体验）。
- 使用沙箱环境浏览可疑网站。
- 部署 WAF 或浏览器防护插件拦截恶意脚本。
Q10急不急？（优先级建议）
⚡ **优先级**：🔴 **极高**。
- **理由**：远程代码执行 (RCE)，无需用户交互，已有公开 Exp，影响主流操作系统。请立即修补！