2020. aasta esimene Patch teisipäev on kohe-kohe käes ja tundub, et Microsoft ei alusta aastat eriti hästi.
Pärast väga vaikset Detsember 2019 plaaster teisipäev väheste muudatusteta on uus värskendus seatud tegelema väga olulise turvanõrkusega, mis on seotud Windowsi kõikides versioonides leiduva põhikrüptograafilise komponendiga.
Microsoft avaldas turvapaiga enne teisipäevast plaastrit
Komponenti nimetatakse Crypt32.dll ja vastutab CryptoAPI-s enamiku sertifikaatide ja krüptograafiliste sõnumside funktsioonide rakendamise eest:
Crypt32.dll on moodul, mis on varustatud Windowsi ja Windows Serveri operatsioonisüsteemidega, kuid selle DLL-i erinevad versioonid pakuvad erinevaid võimalusi.
Ehkki see võib tehniliselt veidi kõlada, on kõige olulisem teada, et CryptoAPI aitab arendajatel krüptograafia kaudu Windowsi rakendustele rohkem turvalisust lisada. The krüpteerimine ja andmete dekrüpteerimine toimub digitaalsertifikaatide abil.
Selle turvarikkumise täiendavaks kinnitamiseks näib, et väidetavalt lasi suur M välja plaastri selle parandamiseks enne 14. jaanuari plaastri teisipäeva. See saadeti olulistele klientidele, Interneti-infrastruktuuriga töötavatele ettevõtetele ja USA sõjaväe harudele.
Muidugi hoolitses Microsoft selle eest, et mitte ükski neist ei saaks enne 14. jaanuari probleemi avalikustada mitteavaldamise lepingute kaudu. Nagu vastus KrebsonSecurityle teatas ettevõte:
Meie kaudu Turvavärskenduste valideerimisprogramm (SUVP), avaldame värskenduste eelversioonid valideerimise ja koostalitlusvõime testimise eesmärgil laborikeskkondades. Selles programmis osalejatel keelatakse paranduse rakendamine ühegi süsteemi jaoks väljaspool seda eesmärki ja nad ei tohi seda rakendada tootmistaristu jaoks.
Mõju ja turvariskid on tohutud, arvestades asjaolu, et USA sõjavägi ja muud esmatähtsad sihtmärgid olid Microsofti nimekirjas esimesed.
Kas see haavatavus võib mõjutada minu Windowsi arvutit?
Mõnevõrra kinnitades haavatavust, Will Dormann, CERT / CC haavatavuse analüütik jagas väga huvitavat säutsuma:
Mulle jääb mulje, et inimesed peaksid võib-olla pöörama väga suurt tähelepanu homsete Microsoft Patch Tuesday värskenduste õigeaegsele installimisele. Isegi rohkem kui teised.
Ma ei tea... nimetan seda lihtsalt aimamiseks?
¯_(ツ)_/¯- Will Dormann (@wdormann) 13. jaanuar 2020
Kui mõtlesite omast käest, siis teadke, et turvaviga võib mõjutada Windowsi põhifunktsioone ja isikuandmeid Internet Explorer/ Edge, autentimise ja sisselogimise turvalisus ning muud kolmanda osapoole rakendused.
See on väga murettekitav, kuna see võib viia pahavara rünnakud ja eraandmete kadumine.
Meeldetuletuseks, see mõjutab kõiki Windowsi versioone, sealhulgas Windows XP ja Windows Vista või 7. Nii et valmistage ennast ette väga auklikuks plaastri teisipäevaks ja hoidke uue arenduse leidmiseks silma peal WindowsReporti 14. jaanuari plaastri teisipäeva artiklitel.
