1月14日,微软发布了CVE-2020-0601漏洞更新补丁,用于更新Windows操作系统的Windows CryptoAPI验证绕过漏洞。利用此漏洞,攻击者可伪造签名将勒索软件或间谍软件伪装成可信文件的方式,从而发起攻击。阿里云已同步更新Windows系统更新源,建议您及时更新ECS实例的操作系统到最新补丁。

漏洞信息

  • 漏洞编号:CVE-2020-0601
  • 漏洞评级:高危,风险极大
  • 补丁更新日期:2020年01月14日
  • 影响版本:
    • Windows 10
    • Windows Server 2016
    • Windows Server 2019
    • Windows Server Version 1809
    • Windows Server Version 1903
    • Windows Server Version 1909

详细描述

CVE-2020-0601漏洞位于验证证书合法性的Windows CryptoAPI(Crypt32.dll)椭圆曲线加密算法,会对以下场景和信任实体造成严重影响。

  • HTTPS连接
  • 签名文件和签名电子邮件
  • 用户模式启动的签名可执行程序

攻击者利用此漏洞可以伪造证书签名恶意文件,或是通过中间人攻击方式解密用户连接,截获受影响软件的机密信息。

安全建议

及时更新官方补丁。

解决方法

您可以选择以下任意方式更新补丁。

  • 方式一:从Windows Update更新,并确保安装最新的2020年1月份安全更新或累积更新。
  • 方式二:前往微软官方网站,自行下载对应的补丁

公告方

阿里云计算有限公司