Microsoft выкатила патч к уязвимости, компрометирующей инфраструктуру открытых ключей Windows

Microsoft сегодня выкатила обновление, которое закрывает несколько уязвимостей. Одна из них настолько серьёзна, что даже NSA выпустила публичное заявление:

media.defense.gov

https://media.defense.gov/2020/Jan/14/2002234275/-1/-1/0/CSA-WINDOWS-10-CRYPT-LIB-20190114.PDF

Список подверженных этой уязвимости версий ОС Windows:

portal.msrc.microsoft.com

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601?ref=dtf.ru

В понедельник стало известно, что Microsoft собирается в кратчайшие сроки выпустить патч для фикса очень серьёзной уязвимости в интерфейсе CryptoAPI (Crypt32.dll) криптодрайвера Windows. Также во вторник появилась информация, что Microsoft заранее выкатила этот патч для критической инфраструктуры и органов власти.

Уязвимость получила название CVE-2020-0601, она даёт дополнительные возможности по проведению MITM атак на ваш компьютер и усложняет процедуру проверки обновлений: ошибка заключается в некорректной проверке ECC-сертификата (Eliptic Curve Cryptography) интерфейсом CryptoAPI и в результате позволяет злоумышленнику создать X.509 сертификат, который будет приниматься системой за доверенный. Это, в том числе, позволяет производить перехват и модификацию TLS трафика, подписывать исполняемые файлы доверенным сертификатом. Также это первый случай, когда NSA публично заявило о том, что обнаружило уязвимость в ПО.

#Windows #Microsoft #уязвимость