Her er detaljerne om den kritiske Windows-sårbarhed, som NSA opdagede
2 min. Læs
Udgivet den
Del denne artikel
Forbedre denne vejledning
Læs vores oplysningsside for at finde ud af, hvordan du kan hjælpe MSPoweruser med at opretholde redaktionen Læs mere
Vi rapporterede i går, at der var en stor sårbarhed i Windows som underminerede det kryptografiske grundlag for operativsystemet.
I dag udgav Microsoft en patch til sårbarheden og også detaljer om problemet.
Den "brede kryptografiske sårbarhed" blev opdaget af US National Security Agency (NSA), som bekræftet af NSA's direktør for cybersikkerhed Anne Neuberger.
Microsoft bekræftede CVE-2020-0601 involverer Windows CryptoAPI og siger "der eksisterer en spoofing-sårbarhed i den måde, Windows CryptoAPI (Crypt32.dll) validerer Elliptic Curve Cryptography (ECC)-certifikater", som kan bruges til at "signere en ondsindet eksekverbar fil, så det ser ud til, at filen var fra en betroet , legitim kilde."
Det ville også blive brugt i krypteret kommunikation såsom HTTPS, hvor Microsoft siger:
"En vellykket udnyttelse kan også give angriberen mulighed for at udføre man-in-the-middle-angreb og dekryptere fortrolige oplysninger om brugerforbindelser til den berørte software."
Heldigvis påvirker sårbarheden kun Windows 10, Windows Server 2019 og Windows Server 2016 OS-versioner, og den er ikke blevet udnyttet i naturen.
På trods af dette var den potentielle virkning af sårbarheden så slem, at NSA blev tvunget til at afsløre den til Microsoft i stedet for at bruge den til deres egne formål.
Dette er den første afsløring, som Microsoft har krediteret til NSA, men Neuberger siger, at det markerer en ændring i deres holdning til sårbarheder, hvor agenturet nu ikke længere ønsker at hamstre dem. NSA havde også advaret infrastrukturvirksomheder om sårbarheden, og at patchen var på vej, og planlægger at frigive sin egen sikkerhedsrådgivning med afhjælpningsoplysninger og hvordan man opdager udnyttelse, senere i dag, og opfordrer også it-personale til at fremskynde installationen af dagens Patch Tuesday sikkerhedsopdateringer.
Department of Homeland Security's Cybersecurity & Infrastructure Security Agency (DHS CISA) udgiver også i dag et nøddirektiv for at advare den amerikanske private sektor og statslige enheder om behovet for at installere de seneste Windows OS rettelser.
Via ZDNet
