CVE-2016-0161（MS16-038） Edge特权提升漏洞【已经修复】

提交了一个Edge中js协议处理相关的漏洞，跟踪一下进度。 预计公开 2016/7/1。

Microsoft Edge 特权提升漏洞 - CVE-2016-0161
当 Microsoft Edge 在特定条件下未正确验证 JavaScript 时会存在特权提升漏洞，可能允许使用提升特权运行脚本。 在基于 Web 的攻击情形中，攻击者可能拥有一个网站以试图利用此漏洞。
另外，受到破坏的网站以及接受或托管用户提供的内容的网站可能包含可利用此漏洞的经特殊设计的内容。 不过，在所有情况下，攻击者无法强制用户查看由攻击者控制的内容。 相反，攻击者需要诱使用户执行操作。 例如，攻击者可以诱骗用户单击链接转到攻击者的网站。 成功利用此漏洞的攻击者可以在受影响的 Microsoft Edge 版本中提升特权。 攻击者随后可将这些特权与另一个漏洞一起用于通过中等完整性级别特权（当前用户的权限）运行任意代码。
此漏洞本身不允许运行任意代码。 但是，此漏洞可能与在运行任意代码时利用提升特权的另一漏洞（例如，远程执行代码漏洞）结合使用。 例如，攻击者可以利用另一个漏洞以通过 Microsoft Edge 运行任意代码，但是由于 Internet Explorer 启动的进程的上下文，代码可能被限制为在较低的完整性级别（权限非常有限）运行。
但是，攻击者随后可能利用此漏洞导致任意代码在中等完整性级别（当前用户的权限）运行。 该更新通过向 Microsoft Edge 添加附加权限验证来解决漏洞。
下表包含指向“常见漏洞和披露”列表中每个漏洞标准条目的链接：

MS16-038 Microsoft Edge Information Disclosure Vulnerability CVE-2016-0161 WenXiang Qian

2016/4/12 4月补丁已经更新
2016/3/26 微软表示5月发布补丁。
2016/3/3 微软表示：不好修啊。
2016/3/2 询问进度
2016/2/11 一个月过去了，什么都没有发生。
2016/1/8 微软确认漏洞
2016/1/3 提交漏洞