Jump to content
TheFuzzStone

Microsoft оповестили миллиарды пользователей о 49 новых уязвимостях в своих различных продуктах

Recommended Posts

image.thumb.png.5a2c3f8ca677dd8718f3515c0769839a.png

 

Особенность последнего обновления заключается в том, что одно из обновлений исправляет серьезную уязвимость в основном криптографическом компоненте, который широко используется в Windows 10, Server 2016 и 2019 версиях.

 

Этот баг был обнаружен и зарепорчен Агентсвом Национальной Безопасности США (АНБ).

 

Более интересным является то, что это первый случай когда АНБ сообщило об этом Microsoft, в отличие от случая с Eternalblue SMB, который АНБ держало в секрете как минимум пять лет, а затем информация просочилась в прессу от неизвестного источника, что привело к появлению всем известного WannaCry в 2017 году.

CVE-2020-0601: Уязвимость Windows CryptoAPI

Согласно сообщению компании Microsoft, дефект, названный 'NSACrypt' и имеющий название CVE-2020-0601, находится в модуле Crypt32.dll, который содержит различные функции обмена сертификатами и криптографическими сообщениями, которые используются в Windows Crypto API для работы с шифрованием и расшифровкой данных.

Проблема заключается в том, что модуль Crypt32.dll валидирует сертификаты эллиптической криптографии (ECC), которые в настоящее время являются отраслевым стандартом криптографии с открытым ключом, и используются в большинстве SSL/TLS-сертификатов.

В пресс-релизе, опубликованном АНБ, говорится, что "уязвимость проверки сертификата позволяет злоумышленнику нарушить правила проверки подлинности криптографического подтверждения и может включить удаленное выполнение кода".

Использование уязвимости позволяет злоумышленникам злоупотреблять процедурой валидации между:

 

  • HTTPS-соединениями
  • Подписанными файлами и электронными письмами
  • Подписанным исполняемым кодом, запущенным в пользовательском режиме.

 

Хотя технические подробности этой уязвимости еще не раскрыты, Microsoft уже подтвердила наличие этой уязвимости, которая в случае успешной эксплуатации может позволить злоумышленникам подделать цифровые подписи на программном обеспечении, обманом заставив операционную систему установить вредоносное программное обеспечение, при этом выдавая себя за легальное программное обеспечение (без ведома пользователей).

 

Злоумышленник мог использовать уязвимость благодаря поддельному коду-подписи сертификата, чтобы подписать вредоносный исполняемый файл, в результате пользователь не мог знать, что файл был вредоносным, потому что цифровая подпись выглядела, как от достоверного провайдера.

Кроме того, уязвимость CryptoAPI позволяет удаленно производить атаку типа "man-in-the-middle", выдавая себя за веб-сайт или расшифровывать конфиденциальную информацию о пользовательских соединениях с зараженным программным обеспечением.

 

"Последствия несоблюдения требований по устранению уязвимости являются серьезными и широко распространенными. Инструменты для дистанционной эксплуатации, скорее всего, будут быстро и широко доступны", -- ну, вы поняли? 😏

Помимо уязвимости CryptoAPI, Microsoft также исправила 48 других уязвимостей, 8 из которых являются критическими, а остальные 40 - важными.

Другие критические уязвимости в Windows

Две критические проблемы касаются Windows Remote Desktop Gateway (RD Gateway), известные как CVE-2020-0609 и CVE-2020-0610, которые могут быть использованы неаутентифицированными злоумышленниками для выполнения вредоносного кода на системах, являющихся объектом атаки, просто отправив специально созданный запрос через RDP.

 

"Эта уязвимость является пре-аутентификацией и не требует взаимодействия с пользователем. Злоумышленник, успешно воспользовавшийся этой уязвимостью, может выполнить произвольный код на целевой системе", - говорится в заявлении.

 

Одна из критических проблем в Remote Desktop Client, отслеживаемая как CVE-2020-0611, может привести к обратной RDP атаке, когда вредоносный сервер может выполнить произвольный код на компьютере подключающегося клиента.

 

"Чтобы воспользоваться этой уязвимостью, злоумышленнику необходимо иметь контроль над сервером, а затем убедить пользователя подключиться к нему", - говорится в заявлении.

"Злоумышленник также может скомпрометировать легитимный сервер, разместить на нем вредоносный код и подождать, пока пользователь подключится".

 

На инглише можете почитать здесь.


Взято с канала: @DrHerbertWest

 

 

Разве это не мило? :blush2:
Агентство Национальной Безопасности США помогает Microsoft сделать Windows лучше.

Edited by TheFuzzStone

Share this post


Link to post
Share on other sites

Новости 3 дня, опомнился. Обычный баг причем для его воспроизведения пользователь должен скачать и установить исполняемый файл, который подпишется как нормальный

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now

  • Recently Browsing   0 members

    No registered users viewing this page.

  • Similar Topics

    • Microsoft предупреждает об атаках «теневых майнеров» на кластеры Kubernetes

      Специалисты по компьютерной безопасности компании Microsoft сообщили о серии хакерских атак на кластеры Kubernetes с запущенными контейнерами Kubeflow для скрытого майнинга криптовалют. Kubernetes ― популярная система оркестрации контейнеров, а решение Kubeflow позволяет быстро и просто разворачивать экземпляры контейнеров с системами машинного обучения. Хакеры атакуют кластеры с развернутыми системами Kubeflow, чтобы разворачивать собственные контейнеры, в которых запускают майнеры XMR и

      in Новости криптовалют

    • Microsoft прекращает работу над Azure Blockchain Service

      Microsoft решила прекратить поддержку Azure Blockchain Service с 10 сентября и просит пользователей перенести свои данные на альтернативные платформы по их выбору. Согласно заявлению в блоге в Microsoft, компания приняла решение о прекращении работы над Azure Blockchain Service. Microsoft информирует клиентов о том, что поддержка продукта будет прекращена 10 сентября, и предлагает им перенести данные на другие платформы. Поддержка новых развертываний или создания участников также прекращ

      in Новости криптовалют

    • Microsoft внедряет технологию Intel для борьбы с криптоджекингом

      Microsoft Defender для Endpoint интегрирует технологию Intel для обнаружения угроз, чтобы повысить скорость реагирования на вредоносные программы скрытого майнинга на рабочих станциях. Согласно заявлению Intel, совместно с Microsoft компания будет бороться с атаками криптоджекинга путем повышения скорости и эффективности обнаружения вредоносных программ для скрытого майнинга криптовалют на устройствах пользователей.     Microsoft Defender для Endpoint расширяет использован

      in Новости криптовалют

    • Binance запустит торговлю токенизированными акциями Apple, Microsoft и Microstrategy

      Криптовалютная биржа Binance расширяет доступ к торговле токенизированными акциями. На платформе появится возможность торгов токенами-акциями Apple, Microsoft и Microstrategy. Торговля токенами-акциями Microstrategy начинается с 26 апреля. Торговля токенизированными акциями Apple будет запущена 28 апреля, а токены-акции Microsoft начнут торговаться на платформе Binance 30 апреля.   В объявлении подчеркивается, что токены «полностью обеспечены» портфелем соответствующих акций, кото

      in Новости криптовалют

    • Microsoft запустила решение по идентификации пользователей ION на блокчейне Биткоина

      Старший менеджер по продуктам децентрализованной идентификации в Microsoft Дэниел Бюхнер подтвердил запуск решения ION – сети децентрализованных идентификаторов (DID) на блокчейне Биткоина. В статье в блоге компании Дэниел Бюхнер (Daniel Buchner) рассказал, что после четырех лет разработки решение ION наконец было выпущено. Это решение второго уровня на блокчейне Биткоина, которое хранит DID и DPKI (децентрализованную инфраструктуру открытых ключей), и может масштабироваться.   Ид

      in Новости криптовалют

×
×
  • Create New...