Ось деталі критичної вразливості Windows, яку виявило АНБ
2 хв. читати
Опубліковано
Поділитися цією статтею
Удосконалити цей посібник
Прочитайте нашу сторінку розкриття інформації, щоб дізнатися, як ви можете допомогти MSPoweruser підтримувати редакційну команду Читати далі
Ми повідомляли, що вчора було a велика вразливість у Windows що підірвало криптографічну основу ОС.
Сьогодні корпорація Майкрософт випустила виправлення для уразливості, а також докладні відомості про проблему.
«Широка криптографічна вразливість» була виявлена Агентством національної безпеки США (АНБ), як підтвердила директор відділу кібербезпеки АНБ Енн Нойбергер.
Microsoft підтвердила CVE-2020-0601 включає Windows CryptoAPI та повідомляє, що «існує вразливість підробки в тому, як Windows CryptoAPI (Crypt32.dll) перевіряє сертифікати Elliptic Curve Cryptography (ECC)», які можна використовувати для «підпису зловмисного виконуваного файлу, створюючи враження, що файл походить від надійного , законне джерело».
Він також використовуватиметься в зашифрованому зв’язку, наприклад HTTPS, а Microsoft каже:
«Успішний експлойт також може дозволити зловмиснику проводити атаки типу «людина посередині» та розшифровувати конфіденційну інформацію про підключення користувачів до ураженого програмного забезпечення».
На щастя, уразливість впливає лише на версії ОС Windows 10, Windows Server 2019 і Windows Server 2016, і її не використовували в дикій природі.
Незважаючи на це, потенційний вплив уразливості був настільки поганим, що АНБ було змушене розкрити її Microsoft, замість того, щоб використовувати для власних цілей.
Це перше розкриття, яке Microsoft приписує АНБ, але Нойбергер каже, що це знаменує зміну їхнього ставлення до вразливостей, і тепер агентство більше не прагне накопичувати їх. АНБ також попередило інфраструктурні компанії про вразливість і те, що патч буде готовий, а також планує опублікувати власну консультацію з безпеки з інформацією про пом’якшення наслідків і способи виявлення експлуатації пізніше сьогодні, також закликаючи ІТ-персонал прискорити встановлення сьогоднішнього патча у вівторок. оновлення безпеки.
Агентство з кібербезпеки та безпеки інфраструктури (DHS CISA) Міністерства внутрішньої безпеки також опублікує надзвичайну директиву, щоб попередити приватний сектор і державні установи США про необхідність інсталювати останні виправлення ОС Windows.
через ZDNet
