1月14日，微軟發布了CVE-2020-0601漏洞更新補丁，用於更新Windows作業系統的Windows CryptoAPI驗證繞過漏洞。利用此漏洞，攻擊者可偽造簽名將勒索軟體或間諜軟體偽裝成可信檔案的方式，從而發起攻擊。阿里雲已同步更新Windows系統更新源，建議您及時更新ECS執行個體的作業系統到最新補丁。
漏洞資訊
- 漏洞編號：CVE-2020-0601
- 漏洞評級：高危，風險極大
- 補丁更新日期：2020年01月14日
- 影響版本：
- Windows 10
- Windows Server 2016
- Windows Server 2019
- Windows Server Version 1809
- Windows Server Version 1903
- Windows Server Version 1909
詳細描述
CVE-2020-0601漏洞位於驗證認證合法性的Windows CryptoAPI（Crypt32.dll）橢圓曲線密碼編譯演算法，會對以下情境和信任實體造成嚴重影響。
- HTTPS串連
- 簽名檔案和簽名電子郵件
- 使用者模式啟動的簽名可執行程式
攻擊者利用此漏洞可以偽造認證簽名惡意檔案，或是通過中間人攻擊方式解密使用者串連，截獲受影響軟體的機密資訊。
安全建議
及時更新官方補丁。
解決方案
您可以選擇以下任意方式更新補丁。
- 方式一：從Windows Update更新，並確保安裝最新的2020年1月份安全更新或累積更新。
- 方式二：前往微軟官方網站，自行下載對應的補丁。
公告方
阿里雲計算有限公司