CVE-2020-0601
Microsoft Windows CryptoAPI Spoofing Vulnerability
Beschreibung
CVE-2020-0601 ist eine hochgradige Spoofing-Schwachstelle in der Microsoft Windows CryptoAPI (Crypt32.dll), weithin bekannt als CurveBall. Die Schwachstelle besteht in der Art und Weise, wie Windows Elliptic-Curve-Cryptography-Zertifikate (ECC) validiert, und ermöglicht es einem Angreifer, Code-Signing-Zertifikate zu fälschen und bösartige Programmdateien als vertrauenswürdig erscheinen zu lassen. Ein Angreifer könnte zudem Man-in-the-Middle-Angriffe durchführen, um vertrauliche Informationen bei Benutzerverbindungen zu entschlüsseln. Dieser Fehler bei der Zertifikatsvalidierung betrifft Windows 10 und Windows-Server-Editionen. CISA hat die Emergency Directive 20-02 für diese Schwachstelle herausgegeben und CVE-2020-0601 in den Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Der EPSS-Score von 94,1 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | Alle Versionen |
| microsoft | windows 10 1903 | - |
| microsoft | windows 10 1909 | - |
| microsoft | windows server 1803 | - |
| microsoft | windows server 1903 | - |
| microsoft | windows server 1909 | - |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
| golang | go | >= 1.12, < 1.12.16; >= 1.13, < 1.13.7 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
Referenzen
- http://packetstormsecurity.com/files/155960/CurveBall-Microsoft-Windows-CryptoAPI-Spoofing-Proof-Of-Concept.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/155961/CurveBall-Microsoft-Windows-CryptoAPI-Spoofing-Proof-Of-Concept.html(Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-0601(US Government Resource)
Schwachstellentyp
CWE-295: Improper Certificate Validation
Eine fehlerhafte Zertifikatsvalidierung tritt auf, wenn Software die Identität eines Remote-Hosts nicht ordnungsgemäß durch Zertifikatsprüfungen verifiziert. Bei CVE-2020-0601 validiert die Windows CryptoAPI die ECC-Zertifikatsparameter nicht korrekt, sodass ein Angreifer Zertifikate mit gefälschten Vertrauensketten erstellen kann, die die Windows-Zertifikatsüberprüfung umgehen und das gesamte Code-Signing- und TLS-Vertrauensmodell untergraben.
Mehr erfahren: CWE-295 — Improper Certificate Validation
Auswirkungsanalyse
CVE-2020-0601 hat einen CVSS-3.1-Score von 8,1 (HIGH) und spiegelt die schwerwiegenden Vertrauensimplikationen einer kryptografischen Spoofing-Schwachstelle wider. Die Schwachstelle ist remote über das Netzwerk mit niedriger Angriffskomplexität ausnutzbar, wobei Benutzerinteraktion erforderlich ist. Es ist keine Authentifizierung notwendig. Vertraulichkeit (Hoch): Ein Angreifer kann Man-in-the-Middle-Angriffe durchführen, um TLS-geschützte Kommunikation abzufangen und zu entschlüsseln, wobei sensible Daten während der Übertragung offengelegt werden. Integrität (Hoch): Durch das Fälschen von Code-Signing-Zertifikaten kann ein Angreifer Schadsoftware als legitim signiert erscheinen lassen und vertrauensbasierte Sicherheitskontrollen umgehen. Verfügbarkeit (Keine): Die CVSS-Bewertung zeigt keine direkte Auswirkung auf die Verfügbarkeit. Der EPSS-Score von 94,1 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzung hin, und die grundlegende Natur dieses kryptografischen Fehlers untergräbt das Windows-Zertifikatsvertrauen auf Betriebssystemebene.
Exploit-Reifegrad
CVE-2020-0601 verfügt über eine hochreife Exploit-Landschaft mit bestätigter aktiver Ausnutzung. Proof-of-Concept-Exploit-Code ist über mehrere Quellen auf Packet Storm Security verfügbar, der die CurveBall-Zertifikatsfälschungstechnik demonstriert. CISA hat die aktive Ausnutzung bestätigt und die Emergency Directive 20-02 speziell für diese Schwachstelle herausgegeben. Der EPSS-Score von 94,1 % (99,9. Perzentil) zeigt nahezu sichere Ausnutzungsaktivität an. Die grundlegende Natur dieses kryptografischen Fehlers macht ihn besonders gefährlich, da er zur Umgehung der Code-Signing-Verifizierung, zum Fälschen von HTTPS-Websites und zur Durchführung von Man-in-the-Middle-Angriffen auf verschlüsselte Kommunikation eingesetzt werden kann.
Behebung
- Microsoft-Sicherheitsupdates sofort anwenden gemäß CISA Emergency Directive 20-02: Apply updates per vendor instructions. Patches sind über das Microsoft Security Response Center verfügbar.
- Überprüfen Sie, dass alle betroffenen Systeme gepatcht sind, einschließlich Windows 10 (Versionen 1507, 1607, 1709, 1803, 1809, 1903, 1909), Windows Server 2016, Windows Server 2019 und Windows Server SAC-Releases (1803, 1903, 1909). Aktualisieren Sie zusätzlich Go-Sprachinstallationen auf Version 1.12.16 bzw. 1.13.7 oder höher.
- Aktivieren und überwachen Sie Windows-Ereignisprotokolleinträge für CryptoAPI-Zertifikatsvalidierungsereignisse (Ereignis-ID 1 von der Quelle Audit-CVE). Microsoft hat einen Erkennungsmechanismus veröffentlicht, der Ausnutzungsversuche nach dem Patch protokolliert.
- Überprüfen und validieren Sie alle kürzlich installierte Software und Code-Signing-Zertifikate, um sicherzustellen, dass keine gefälschten Zertifikate zur Installation von Schadsoftware während des Schwachstellenzeitraums verwendet wurden.
- Setzen Sie Netzwerküberwachung ein, um potenzielle Man-in-the-Middle-Angriffe zu erkennen, insbesondere anomale TLS-Zertifikatspräsentationen mit ungewöhnlichen ECC-Parametern. Überprüfen Sie TLS-Inspektionsprotokolle auf Zertifikate, die die CurveBall-Schwachstelle ausgenutzt haben könnten.
Technische Details
CVE-2020-0601 ist eine Schwachstelle bei der fehlerhaften Zertifikatsvalidierung in der Windows CryptoAPI (Crypt32.dll), die die Überprüfung von ECC-Zertifikaten betrifft. Der Fehler liegt in der fehlenden ordnungsgemäßen Validierung der expliziten Kurvenparameter von ECC-Zertifikaten durch die CryptoAPI. Ein Angreifer kann ein Zertifikat erstellen, das benutzerdefinierte ECC-Parameter angibt, die einen öffentlichen Schlüssel generieren, der scheinbar auf eine vertrauenswürdige Root-Zertifizierungsstelle zurückzuführen ist, obwohl er vom Angreifer kontrolliert wird. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N) zeigt netzwerkbasierte Ausnutzung mit niedriger Komplexität und ohne erforderliche Berechtigungen, wobei Benutzerinteraktion notwendig ist. Diese Schwachstelle untergräbt grundlegend das Windows-Zertifikatsvertrauensmodell, da jede über die CryptoAPI validierte code-signierte Binärdatei oder jedes TLS-Zertifikat gefälscht werden kann.
Häufig gestellte Fragen
Wird CVE-2020-0601 aktiv ausgenutzt?
Ja. CVE-2020-0601 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen mit bestätigter aktiver Ausnutzung gelistet, und CISA hat die Emergency Directive 20-02 speziell für diese Schwachstelle herausgegeben. Der EPSS-Score von 94,1 % (99,9. Perzentil) zeigt nahezu sichere Ausnutzungsaktivität an. Mehrere Proof-of-Concept-Exploits sind öffentlich verfügbar.
Welche Produkte sind betroffen?
CVE-2020-0601 betrifft Microsoft Windows 10 (Versionen 1507, 1607, 1709, 1803, 1809, 1903, 1909), Windows Server 2016, Windows Server 2019 und Windows Server SAC-Releases (1803, 1903, 1909). Zusätzlich sind Go-Sprachversionen 1.12 bis 1.12.15 und 1.13 bis 1.13.6 betroffen.
Wie behebe ich CVE-2020-0601?
Wenden Sie die Microsoft-Sicherheitsupdates gemäß CISA Emergency Directive 20-02 an. Stellen Sie sicher, dass alle betroffenen Windows-Systeme und Go-Installationen aktualisiert sind. Aktivieren Sie nach dem Patchen die CryptoAPI-Audit-Protokollierung, um frühere Ausnutzungsversuche zu erkennen, und überprüfen Sie kürzlich installierte Software auf potenziell gefälschte Code-Signing-Zertifikate.
Wie schwerwiegend ist CVE-2020-0601?
CVE-2020-0601 hat einen CVSS-3.1-Score von 8,1 (HIGH). Diese kryptografische Spoofing-Schwachstelle untergräbt das grundlegende Vertrauensmodell der Windows-Zertifikatsvalidierung. Mit einem EPSS-Score von 94,1 % im 99,9. Perzentil und einer dedizierten CISA Emergency Directive erfordert diese Schwachstelle eine sofortige Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.