1月14日，微软发布了CVE-2020-0601漏洞更新补丁，用于更新Windows操作系统的Windows CryptoAPI验证绕过漏洞。利用此漏洞，攻击者可伪造签名将勒索软件或间谍软件伪装成可信文件的方式，从而发起攻击。阿里云已同步更新Windows系统更新源，建议您及时更新ECS实例的操作系统到最新补丁。
漏洞信息
- 漏洞编号：CVE-2020-0601
- 漏洞评级：高危，风险极大
- 补丁更新日期：2020年01月14日
- 影响版本：
- Windows 10
- Windows Server 2016
- Windows Server 2019
- Windows Server Version 1809
- Windows Server Version 1903
- Windows Server Version 1909
详细描述
CVE-2020-0601漏洞位于验证证书合法性的Windows CryptoAPI（Crypt32.dll）椭圆曲线加密算法，会对以下场景和信任实体造成严重影响。
- HTTPS连接
- 签名文件和签名电子邮件
- 用户模式启动的签名可执行程序
攻击者利用此漏洞可以伪造证书签名恶意文件，或是通过中间人攻击方式解密用户连接，截获受影响软件的机密信息。
安全建议
及时更新官方补丁。
解决方法
您可以选择以下任意方式更新补丁。
- 方式一：从Windows Update更新，并确保安装最新的2020年1月份安全更新或累积更新。
- 方式二：前往微软官方网站，自行下载对应的补丁。
公告方
阿里云计算有限公司