Windows-ում վկայագրերի ստուգման խոցելիությունը, որի մասին հայտնել էր NSA-ն, թույլ էր տալիս կեղծել ծրագրերի թվային ստորագրությունները և HTTPS վկայագրերը։
Հրապարակվել է՝ 2020 թ. հունվարի 14
2020-ի հունվարյան թարմացումներում Microsoft-ը ուղղեց Windows CryptoAPI-ի (crypt32.dll) սխալը, որի մասին հայտնել էր ԱՄՆ Ազգային անվտանգության գործակալությունը։ Windows-ը սխալ էր ստուգում էլիպտիկ կորերի վրա հիմնված որոշ վկայագրեր, և հարձակվողը կարող էր ստեղծել վկայագիր, որը կարծես տրված էր վստահելի կենտրոնի կողմից։ Վնասակար ծրագիրը կարող էր թվալ օրինական արտադրողի կողմից ստորագրված, իսկ կեղծ HTTPS կայքերը՝ իրական։
| CVE | Վտանգավորություն | Խոցելի տարբերակներ | Ուղղված է |
|---|---|---|---|
CVE-2020-0601 | Բարձր, CVSS 8.1 (կեղծում) | Windows 10, Windows Server 2016 և 2019 | 2020-ի հունվարի անվտանգության թարմացումներ |
Ծրագրերի թվային ստորագրությունները և HTTPS վկայագրերը համակարգչում վստահության հիմքն են։ Եթե դրանք հնարավոր է կեղծել, օգտատերերին և նույնիսկ պաշտպանության միջոցներին կարելի է խաբել և ստիպել վստահել վնասակար ծրագրերին և կայքերին։
Աղբյուրներ՝ Microsoft CVE-2020-0601, NVD CVE-2020-0601.
Օգնության կարիք ունե՞ք։ Կապվեք CySec-ի հետ՝ անվճար խորհրդատվության համար։
Էքսփլոյթների նոր շղթան root իրավունքներ է տալիս տեղային N-central սերվերներում, հարձակումները սկսվեցին հրապարակումից մի քանի ժամ անց։ Լիարժեք ուղղում դեռ չկա․ շտապ ստուգումներ։
Կարդալ հոդվածըOutlook-ի շահագործվող խոցելիությունը հատուկ ֆայլի միջոցով փոխանցում է NTLM հեշը։ Այս ամիս Microsoft-ը ուղղել է ավելի քան 1000 խոցելիություն․ ահա առաջնահերթությունները։
Կարդալ հոդվածըGoogle-ը ուղղեց Chrome-ում արդեն շահագործվող use-after-free խոցելիությունը։ Ուղղումն աշխատում է միայն բրաուզերի վերագործարկումից հետո․ ինչպես համոզվել, որ յուրաքանչյուր համակարգիչ պաշտպանված է։
Կարդալ հոդվածըՄեր ինժեներները կուսումնասիրեն ձեր ներկայիս համակարգը և կառաջարկեն կոնկրետ բարելավումներ։
