Windows CryptoAPI糊弄缝隙风险公告

颁布功夫 2020-01-15

缝隙编号和级别


CVE编号：CVE-2020-0601，危险级别：高危，CVSS分值：厂商自评：8.1，官方未评定


影响版本


Windows 10 Version 1607

Windows 10 Version 1709

Windows 10 Version 1803

Windows 10 Version 1809

Windows 10 Version 1903

Windows 10 Version 1909

Windows Server2016

Windows Server 2019


缝隙概述


2020年1月14日微软颁布了CVE-2020-0601缝隙布告，此缝隙为Windows加密库中的一个关键的缝隙，Windows CryptoAPI(Crypt32.dll) 验证椭圆曲线加密 (ECC)证书的方式中存在糊弄缝隙。


攻击者能够通过使用糊弄性的代码署名证书对恶意可执行文件进行署名来利用此缝隙，从而使该文件似乎来自靠得住的合法起源。用户将无法知路文件是恶意的，由于数字署名似乎来自受信赖的提供法式。成功的利用还能够使攻击者进行中央人攻击，并在与受影响软件的用户衔接上解密机密信息。


该缝隙为NSA独立发现，并汇报给微软。凭据NSA成功利用此缝隙将使攻击者可能提供来自受信赖实体的恶意代码。其中蕴含：署名的文件和电子邮件、署名可执行代码等、HTTPs衔接。


值妥贴心的是指定参数的ECC密钥证书的Windows版本会受到影响，而这一机造，最早由WIN10引入，影响WIN10，Windows Server 2016/2019版本，而于今年1月14日终场安全守护的WIN7/Windows Server 2008由于不支持带参数的ECC密钥，因而不受有关影响，但依然建议用户将WIN7/ Windows Server 2008系统更新至最新的WIN10系统或Windows Server2016之后的版本，并更新有关安全补丁。


缝隙验证


暂无POC/EXP。


建复建议


目前微软已颁布升级补丁以建复缝隙，详情请关注厂商主页：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601。


参考链接


https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601

https://media.defense.gov/2020/Jan/14/2002234275/-1/-1/0/CSA-WINDOWS-10-CRYPT-LIB-20190114.PDF