Jump to content
TheFuzzStone

Microsoft оповестили миллиарды пользователей о 49 новых уязвимостях в своих различных продуктах

Recommended Posts

image.thumb.png.5a2c3f8ca677dd8718f3515c0769839a.png

 

Особенность последнего обновления заключается в том, что одно из обновлений исправляет серьезную уязвимость в основном криптографическом компоненте, который широко используется в Windows 10, Server 2016 и 2019 версиях.

 

Этот баг был обнаружен и зарепорчен Агентсвом Национальной Безопасности США (АНБ).

 

Более интересным является то, что это первый случай когда АНБ сообщило об этом Microsoft, в отличие от случая с Eternalblue SMB, который АНБ держало в секрете как минимум пять лет, а затем информация просочилась в прессу от неизвестного источника, что привело к появлению всем известного WannaCry в 2017 году.

CVE-2020-0601: Уязвимость Windows CryptoAPI

Согласно сообщению компании Microsoft, дефект, названный 'NSACrypt' и имеющий название CVE-2020-0601, находится в модуле Crypt32.dll, который содержит различные функции обмена сертификатами и криптографическими сообщениями, которые используются в Windows Crypto API для работы с шифрованием и расшифровкой данных.

Проблема заключается в том, что модуль Crypt32.dll валидирует сертификаты эллиптической криптографии (ECC), которые в настоящее время являются отраслевым стандартом криптографии с открытым ключом, и используются в большинстве SSL/TLS-сертификатов.

В пресс-релизе, опубликованном АНБ, говорится, что "уязвимость проверки сертификата позволяет злоумышленнику нарушить правила проверки подлинности криптографического подтверждения и может включить удаленное выполнение кода".

Использование уязвимости позволяет злоумышленникам злоупотреблять процедурой валидации между:

 

  • HTTPS-соединениями
  • Подписанными файлами и электронными письмами
  • Подписанным исполняемым кодом, запущенным в пользовательском режиме.

 

Хотя технические подробности этой уязвимости еще не раскрыты, Microsoft уже подтвердила наличие этой уязвимости, которая в случае успешной эксплуатации может позволить злоумышленникам подделать цифровые подписи на программном обеспечении, обманом заставив операционную систему установить вредоносное программное обеспечение, при этом выдавая себя за легальное программное обеспечение (без ведома пользователей).

 

Злоумышленник мог использовать уязвимость благодаря поддельному коду-подписи сертификата, чтобы подписать вредоносный исполняемый файл, в результате пользователь не мог знать, что файл был вредоносным, потому что цифровая подпись выглядела, как от достоверного провайдера.

Кроме того, уязвимость CryptoAPI позволяет удаленно производить атаку типа "man-in-the-middle", выдавая себя за веб-сайт или расшифровывать конфиденциальную информацию о пользовательских соединениях с зараженным программным обеспечением.

 

"Последствия несоблюдения требований по устранению уязвимости являются серьезными и широко распространенными. Инструменты для дистанционной эксплуатации, скорее всего, будут быстро и широко доступны", -- ну, вы поняли? 😏

Помимо уязвимости CryptoAPI, Microsoft также исправила 48 других уязвимостей, 8 из которых являются критическими, а остальные 40 - важными.

Другие критические уязвимости в Windows

Две критические проблемы касаются Windows Remote Desktop Gateway (RD Gateway), известные как CVE-2020-0609 и CVE-2020-0610, которые могут быть использованы неаутентифицированными злоумышленниками для выполнения вредоносного кода на системах, являющихся объектом атаки, просто отправив специально созданный запрос через RDP.

 

"Эта уязвимость является пре-аутентификацией и не требует взаимодействия с пользователем. Злоумышленник, успешно воспользовавшийся этой уязвимостью, может выполнить произвольный код на целевой системе", - говорится в заявлении.

 

Одна из критических проблем в Remote Desktop Client, отслеживаемая как CVE-2020-0611, может привести к обратной RDP атаке, когда вредоносный сервер может выполнить произвольный код на компьютере подключающегося клиента.

 

"Чтобы воспользоваться этой уязвимостью, злоумышленнику необходимо иметь контроль над сервером, а затем убедить пользователя подключиться к нему", - говорится в заявлении.

"Злоумышленник также может скомпрометировать легитимный сервер, разместить на нем вредоносный код и подождать, пока пользователь подключится".

 

На инглише можете почитать здесь.


Взято с канала: @DrHerbertWest

 

 

Разве это не мило? :blush2:
Агентство Национальной Безопасности США помогает Microsoft сделать Windows лучше.

Edited by TheFuzzStone

Share this post


Link to post
Share on other sites

Новости 3 дня, опомнился. Обычный баг причем для его воспроизведения пользователь должен скачать и установить исполняемый файл, который подпишется как нормальный

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now

  • Recently Browsing   0 members

    No registered users viewing this page.

  • Similar Topics

    • Сотрудник Microsoft получил девять лет тюрьмы за мошенничество с биткоином

      Сотрудник Microsoft, который использовал данные коллег для мошенничества с биткоином и различными подарочными картами, получил девять лет тюрьмы. 26-летний украинец Владимир Кващук проживал в Вашингтоне и работал в Microsoft с августа 2016 года по июнь 2018 года. Он использовал персональные данные коллег для кражи и последующей перепродажи различных подарочных карт.    Прибыль Кващук выводил в биткоин и использовал сервисы микширования, чтобы скрыть происхождение средств. После эт

      in Новости криптовалют

    • Microsoft: «некоторые атаки вирусов-вымогателей занимали всего 45 минут»

      Компания Microsoft выпустила очередной годовой отчет по компьютерной безопасности, в котором уделила внимание и проблеме вирусов-шифровальщиков. В отчете подчеркивается, что атаки вирусов-шифровальщиков стали наиболее разрушительными для компьютерных сетей различных компаний в прошлом году. Даже среди групп хакеров, занимающихся такой деятельностью, выделяются группы, «работающие с большими компаниями».   Такие группы пытаются заразить масштабные сети крупных корпораций и правител

      in Новости криптовалют

    • Новый вирус атакует серверы БД Microsoft SQL для майнинга Monero

      Подразделение Tencent по информационной безопасности обнаружило новый вирус-майнер, названный MrbMiner. Вирус заражает серверы СУБД Microsoft SQL для добычи криптовалют. Согласно отчету Tencent Security, тактика вируса достаточно проста — ботнет сканирует доступные IP-адреса в поисках серверов Microsoft SQL, и, при обнаружении такого, пытается войти под учетной записью администратора с помощью подбора пароля. В случае успеха вирус скачивает файл assm.exe, который внедряет механизм перез

      in Новости криптовалют

    • Microsoft сообщает о распространении вредоносного ПО Anubis для кражи данных и криптоактивов

      Microsoft зафиксировала несколько вирусных кампаний, использующих новое вредоносное ПО Anubis для кражи конфиденциальной информации и криптоактивов. По данным Microsoft Security Intelligence, новая форма вредоносного ПО под названием Anubis уже распространилась по миру после того, как в июне поступила в продажу на рынках даркнета. Программа создана на основе форка кода своего предшественника Loki. Anubis может украсть ключи от криптовалютных кошельков, системные учетные данные, информаци

      in Новости криптовалют

    • Waves Enterprise и Microsoft объединились для разработки решений на блокчейне

      Waves Enterprise и российский офис Microsoft договорились о стратегическом сотрудничестве в области создания корпоративных решений на базе блокчейна и облачных технологий. Waves Enterprise сообщает о подписании пятилетнего меморандума с Microsoft Russia о совместной работе над корпоративными решениями на базе блокчейна. Хотя условия сотрудничества еще утверждены, Waves заявляет, что обе стороны хотят использовать блокчейн для новых решений в цепочке поставок, а также для «токенизации пром

      in Новости криптовалют

×
×
  • Create New...