微软证书漏洞CVE-2020-0601 高危漏洞加固指南

1. 漏洞信息

序号	漏洞类型	风险等级	漏洞主机( 操作系统及版本)
1	微软证书漏洞CVE-2020-0601	高	Windows

     2 .漏洞加固实施

漏洞1：微软证书漏洞CVE-2020-0601

  漏洞详细

1月15日，微软发布了针对CVE-2020-0601的安全补丁，该漏洞是微软在实现椭圆曲线加密(ECC)算法数字证书验证时产生，位于CryptoAPI.dll文件，可被利用于伪造来自可信任来源的签名或证书，并且因其业务特性会衍生出多种攻击向量，具有极高的可利用价值和极大的潜在破坏力，Win10和windows server 2016 & 2019也都在其影响范围内。

有意思的是，在微软发布公告后，NSA也发布了关于CVE-2020-0601漏洞的预警通告。根据通告可以得知，这个漏洞是由NSA率先独立发现并汇报给微软的（微软在报告中对NSA致谢），也被认为是第一个NSA公开披露的软件系统漏洞，当然也有可能存在其特殊的战术目的。

该漏洞位于Windows CryptoAPI(Crypt32.dll)验证椭圆曲线加密算法证书的方式，可能影响信任的一些实例包括：

A.HTTPS连接

B.文件签名

C.电子邮件签名

D.以用户模式启动的签名可执行程序

此外，该漏洞可以让攻击者伪造代码签名证书对恶意可执行文件进行签名，使文件看似来自可信的来源。例如，可以让勒索软件或其他间谍软件拥有看似有效的证书，从而促使用户安装。中间人攻击并解密用户连接到受影响软件的机密信息也是主要的攻击场景之一。

目前，支持使用带有指定参数的ECC密钥的证书的Microsoft Windows版本会受到影响，包括了Windows 10、Windows Server 2016/2019以及依赖于Windows CryptoAPI的应用程序。而Windows 10 之前的版本，如Windows 7、Windows Server 2008 R2 等均不受该漏洞的影响。因为win7没有默认添加微软的ECC根证书，crypt32.dll里面也没这个hash值，没法直接对比通过，故不受影响。

加固方案

除了安装修补程序之外，企业还可以采取其他措施保护端点，比如：
(1) 从网络流量中提取证书，检查可疑的属性；
(2) 通过执行TLS检查，不使用Windows进行证书验证的代理设备承载流量；
(3) 在企业内部部署私有根证书颁发机构，并且在特定计算机/服务器位置控制第三方软件的部署和使用；
(4) 符合条件的企业可以申请加入微软 Security Update Validation Program (SUVP) 或 Microsoft Active Protections Program (MAPP)，从而提前从微软获得安全更新以进行相关的测试分析。

风险控制措施

快速采用补丁是目前已知较好的缓解措施。尽管尚未出现公开的攻击方式和案例，但建议大家及时安装安全更新。更新后，当检测到有人试图利用CVE-2020-0601进行攻击时，系统将在每次重新启动Windows日志后在事件查看器中生成事件ID