【缝隙公告】CVE-2020-0601 | Windows CryptoAPI糊弄缝隙

颁布功夫 2020-01-16



GA黄金甲·(中国区)官方网站


1.布景描述


1月14日微软在例行的周二补丁更新中建复了一个Windows CryptoAPI糊弄缝隙，该缝隙（CVE-2020-0601）是Windows CryptoAPI（Crypt32.dll）在验证椭圆曲线加密算法（ECC）证书过程中的缝隙，攻击者可能利用该缝隙伪造数字证书或提议中央人攻击。该缝隙是由NSA发现和汇报的，NSA网络安全总监Anne Neuberger暗示，这是该机构初次决定向软件供给商公开披露安全缝隙。


2.影响领域


Windows 10

Windows Server2016

Windows Server 2019


3.缝隙详情


该缝隙被跟踪为CVE-2020-0601，影响了Windows CryptoAPI，后者是Windows操作系统处置密码操作的主题组件。凭据微软颁布的安全布告， Windows CryptoAPI（Crypt32.dll）验证椭圆曲线加密算法（ECC）证书的方式中存在一个糊弄缝隙，攻击者可利用该缝隙对恶意可执行文件进行署名，使该文件看起来像是来自受信赖的合法起源。除了伪造文件署名之表，该缝隙还能够用于伪造用于加密通讯的数字证书。微软暗示，成功的利用还能够使攻击者进行中央人攻击，并在与受影响软件的用户衔接上解密机密信息。”


凭据NSA的说法，成功利用此缝隙将允许攻击者传递来自可信实体的恶意代码，并分析指出了一些信赖验证会受到影响的例子：


           HTTPs衔接

           署名文件和电子邮件

           作为用户模式过程启动的署名可执行代码


值妥贴心的是指定参数的 ECC 密钥证书的 Windows 版本会受到影响，而这一机造，最早由 WIN10 引入，影响 WIN10，Windows Server 2016/2019 版本，而于今年 1 月 14 日终场安全守护的 WIN7/Windows Server 2008 由于不支持带参数的 ECC 密钥，因而不受有关影响，但依然建议用户将 WIN7/ Windows Server 2008 系统更新至最新的 WIN10 系统或 Windows Server2016 之后的版本，并更新有关安全补丁。


微软和美国NSA暗示，在补丁颁布之前还没有发现任何自动利用此缝隙的攻击。NSA在14日晚些时辰颁布了自己的安全布告，其中蕴含缓解信息以及若何检测缝隙利用，还督促IT员工尽快装置周二安全更新。河山安全数网络安全和基础设施安全局（DHS CISA）也颁布了垂危指令，提醒美国私营部门和敌灾实体必要装置最新Windows建复补丁。


4.建复建议


建议更新Windows安全补丁


5.参考链接


https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601

https://media.defense.gov/2020/Jan/14/2002234275/-1/-1/0/CSA-WINDOWS-10-CRYPT-LIB-20190114.PDF

https://cyber.dhs.gov/ed/20-02/