1月14日，微軟發布了CVE-2020-0601漏洞更新補丁，用于更新Windows操作系統的Windows CryptoAPI驗證繞過漏洞。利用此漏洞，攻擊者可偽造簽名將勒索軟件或間諜軟件偽裝成可信文件的方式，從而發起攻擊。阿里云已同步更新Windows系統更新源，建議您及時更新ECS實例的操作系統到最新補丁。

漏洞信息

  • 漏洞編號：CVE-2020-0601
  • 漏洞評級：高危，風險極大
  • 補丁更新日期：2020年01月14日
  • 影響版本：
    • Windows 10
    • Windows Server 2016
    • Windows Server 2019
    • Windows Server Version 1809
    • Windows Server Version 1903
    • Windows Server Version 1909

詳細描述

CVE-2020-0601漏洞位于驗證證書合法性的Windows CryptoAPI（Crypt32.dll）橢圓曲線加密算法，會對以下場景和信任實體造成嚴重影響。

  • HTTPS連接
  • 簽名文件和簽名電子郵件
  • 用戶模式啟動的簽名可執行程序

攻擊者利用此漏洞可以偽造證書簽名惡意文件，或是通過中間人攻擊方式解密用戶連接，截獲受影響軟件的機密信息。

安全建議

及時更新官方補丁。

解決方法

您可以選擇以下任意方式更新補丁。

  • 方式一：從Windows Update更新，并確保安裝最新的2020年1月份安全更新或累積更新。
  • 方式二：前往微軟官方網站，自行下載對應的補丁。

公告方

阿里云計算有限公司