1月14日，微软发布了CVE-2020-0601漏洞更新补丁，用于更新Windows操作系统的Windows CryptoAPI验证绕过漏洞。利用此漏洞，攻击者可伪造签名将勒索软件或间谍软件伪装成可信文件的方式，从而发起攻击。阿里云已同步更新Windows系统更新源，建议您及时更新ECS实例的操作系统到最新补丁。

漏洞信息

  • 漏洞编号：CVE-2020-0601
  • 漏洞评级：高危，风险极大
  • 补丁更新时间：2020年01月14日
  • 影响版本：
    • Windows 10
    • Windows Server 2016
    • Windows Server 2019
    • Windows Server Version 1809
    • Windows Server Version 1903
    • Windows Server Version 1909

详细描述

CVE-2020-0601漏洞位于验证证书合法性的Windows CryptoAPI（Crypt32.dll）椭圆曲线加密算法，会对以下场景和信任实体造成严重影响。

  • HTTPS连接
  • 签名文件和签名电子邮件
  • 用户模式启动的签名可执行程序

攻击者利用此漏洞可以伪造证书签名恶意文件，或是通过中间人攻击方式解密用户连接，截获受影响软件的机密信息。

安全建议

及时更新官方补丁。

解决方法

您可以选择以下任意方式更新补丁。

  • 方式一：从Windows Update更新，并确保安装最新的2020年1月份安全更新或累积更新。
  • 方式二：前往微软官方网站，自行下载对应的补丁。

公告方

阿里云计算有限公司

如果您有相关需求或反馈，请提交工单或拨打服务热线95187联系阿里云。