АНБ обнаружило опасную криптографическую уязвимость в Windows

Рекомендуем почитать:

Xakep #248. Checkm8

• Содержание выпуска
• Подписка на «Хакер»

Агентство национальной безопасности США (АНБ) обнаружило серьезный криптографический баг CVE-2020-0601, опасный для Windows 10, Windows Server 2019 и Windows Server 2016. Уязвимость связана с работой Windows CryptoAPI — основного компонента Windows, который отвечает за криптографические операции.

Так, исследователи АНБ обнаружили, что существует возможность спуфинга, связанная тем, как Windows CryptoAPI (Crypt32.dll) осуществляет валидацию ECC-сертификатов (Eliptic Curve Cryptography — метод криптографии, работающий с эллиптическими кривыми).

Microsoft предупреждает, что атакующий может воспользоваться этой уязвимостью, чтобы подписать вредоносный исполняемый файл, чтобы тот выглядел как файл, полученный из надежного и легитимного источника. Хуже того, уязвимость также может использоваться для подделки цифровых сертификатов, используемых для шифрованных коммуникаций. Фактически успешная эксплуатация проблемы позволяет проводить MitM-атаки и расшифровывать конфиденциальную информацию о пользовательских подключениях.

Хотя Microsoft оценила исправление для этого бага как «важное», а не «критическое», и уязвимость пока не использовалась в реальных атаках, но проблема считается настолько серьезной, что АНБ пошло на беспрецедентный для себя шаг, сообщив об уязвимости разработчикам, вместо того, чтобы скрыть эту информацию и использовать для проведения собственных операций. Более того, директор по кибербезопасности АНБ Энн Нойбергер подчеркивает, что раскрытие данных о CVE-2020-0601 — это лишь «первая ласточка», и агентство намерено изменить свой подход к кибербезопасности, то есть в будущем последуют и другие сообщения об ошибках.

АНБ уже выпустило собственное руководство по безопасности, содержащее информацию о способах снижения рисков от уязвимости, методах обнаружения эксплуатации проблемы, а также призвало компании и пользователей как можно скорее установить вышедшие патчи.

Источник