Компания Microsoft выпустила первые в 2020 году плановые обновления безопасности для своих продуктов. В общей сложности было исправлено 49 уязвимостей, в том числе восемь критических.

В частности, Microsoft выпустила патч для уязвимости в CryptoAPI (криптографической библиотеке по умолчанию crypt32.dll), о которой сообщалось накануне. Уязвимость (CVE-2020-0601) была обнаружена специалистами Агентства национальной безопасности США, сообщившими о ней Microsoft.

Согласно уведомлению безопасности, проблема связана с тем, как crypt32.dll устанавливает подлинность сертификатов с эллиптическими кривыми. С ее помощью злоумышленник может подписать вредоносный исполняемый файл таким образом, чтобы система приняла его за легитимный файл из надежного источника.

Уязвимость также может использоваться для подделки цифровых сертификатов, применяемых для зашифрованной связи. Проэксплуатировав ее, злоумышленник может осуществить атаку «человек посередине» и расшифровать конфиденциальную информацию.

Как сообщает Microsoft, уязвимость затрагивает Windows 10, Windows Server 2019 и Windows Server 2016. Ни производителю, ни АНБ не известны случаи ее эксплуатации в реальных атаках до выхода патча.