0
本文作者：李勤 大壯旅
1 月 15 日，微軟例行公布了 1 月的補丁更新列表，其中有一個漏洞引起了高度關注：這是一個位于CryptoAPI.dll橢圓曲線密碼 (ECC) 證書檢測繞過相關的漏洞。
厲害的是，美國美國國家安全局（NSA） 隨后也發布了關于這個漏洞的預警通告。
通告顯示，NSA 獨立發現了這個漏洞，并匯報給微軟。要知道，NSA 之前可是專門挖掘了微軟漏洞進行利用，還搞出了“永恒之藍”系列。
雷鋒網給不熟悉網絡安全的童鞋們回憶下其中的“細思恐極”之處：2017 年 5 月 12 日晚上 20 時左右，全球爆發大規模勒索軟件感染事件，用戶只要開機上網就可被攻擊。五個小時內，包括英國、俄羅斯、整個歐洲以及國內多個高校校內網、大型企業內網和政府機構專網中招，被勒索支付高額贖金（有的需要比特幣）才能解密恢復文件，這場攻擊甚至造成了教學系統癱瘓，包括校園一卡通系統。
上述事件是不法分子通過改造之前泄露的 NSA 黑客武器庫中“永恒之藍”攻擊程序發起的網絡攻擊事件。
不過，在一些外媒報道中，NSA 表達了自己的誠意：將努力成為網絡安全界和私營部門的盟友，并將開始與合作伙伴分享漏洞數據，而不是積累這些數據并用于未來的攻擊行動。
按照“說人話”的版本，這次 NSA 發現的是個嚴重的核心加密組件漏洞，多版 Windows 都躲不過。一旦這個關鍵漏洞被不法分子利用，可能會對幾個關鍵的 Windows 安全功能造成廣泛的影響，比如 Windows 桌面與服務器的認證，微軟 IE/Edge 瀏覽器負責的敏感信息保護，以及許多第三方應用與工具等。
這個嚴重漏洞藏在名為 crypt32.dll 的 Windows 組件中。在微軟官方語境中，crypt32.dll 所在的模塊負責的是“CryptoAPI（加密 API）中的認證與密碼信息功能”。在工作中，微軟 CryptoAPI 提供的服務能幫助開發者借助密碼保護基于 Windows 平臺的應用，其功能包括利用數字證書加密與解密數據。
同樣的，crypt32.dll 中的這個漏洞遭到濫用后，不法分子就能欺騙與軟件捆綁的數字簽名。此外，攻擊者甚至能借此將惡意軟件打扮成人畜無害的正規軟件并加上合法軟件公司的簽名。
雷鋒網從奇安信紅雨滴的研究成果中發現，攻擊者可以通過構造惡意的簽名證書，并以此簽名惡意文件來進行攻擊，此外由于ECC證書還廣泛的應用于通信加密中，攻擊者成功利用該漏洞可以實現對應的中間人攻擊。
紅雨滴的分析報告還顯示，值得注意的是指定參數的 ECC 密鑰證書的 Windows 版本會受到影響，而這一機制，最早由 WIN10 引入，影響 WIN10，Windows Server2016/2019 版本，而于今年 1 月 14 日停止安全維護的 WIN7/Windows Server 2008 由于不支持帶參數的 ECC 密鑰，因此不受相關影響。
今日上午 11 時左右，紅雨滴的負責人汪列軍還對雷鋒網編輯表示，這個漏洞影響很大，正在抓緊分析。安全公司360 方面也表示，將有研究人員出具分析報告。
CERT-CC 安全研究人員 Will Dormann 則提前一天就發了推文稱，“明天的微軟周二補丁日升級大家可得盯緊了別放松。怎么說呢？這算是我的預感吧。”
在此之前，據說微軟已經悄悄地向美國軍方和一些高價值客戶/目標（那些管理關鍵互聯網基礎設施的），以及一些簽了保密協議的組織機構推送了一版補丁。簡言之，它們不想在今年的首個周二補丁日（美國時間 1 月 14 日）前走漏這一消息。
這意味著，國內外安全公司對此相當重視。
坊間傳聞，過去 48 小時內微軟憋了大招，才在周二補丁日上推出了非常顯眼的升級，而且運行 Windows 的所有組織機構需要第一時間完成升級。
以下是補丁地址
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601
參考來源：
krebsonsecurity，Cryptic Rumblings Ahead of First 2020 Patch Tuesday；
奇安信威脅情報中心，微軟核心加密庫漏洞（CVE-2020-0601）通告
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
