微軟修復了2018年起就存在的0day級別Windows文件簽名漏洞
作為8月11日補丁週二的一部分,一個0day級別的漏洞被修復,它影響到Windows 7、Windows 8.1、Windows 10和幾個Windows Server版本,微軟還承認已經留意到利用此漏洞發生的攻擊已經出現。這是操作系統中的一個欺騙漏洞,詳情記錄在CVE-2020-1464中,後果是黑客最終可以通過成功利用它來加載不當簽名的文件。
“存在一個欺騙漏洞可以令Windows錯誤地驗證文件簽名。成功利用該漏洞的攻擊者可以繞過安全功能,加載不正當簽名的文件。在攻擊場景中,攻擊者可以繞過旨在防止加載不當簽名文件的安全功能。”微軟表示,看起來這個缺陷從2018年起就存在。
KrebsOnSercurity透露,該欺騙漏洞最早是由VirusTotal的經理Bernardo Quintero向微軟報告的,公司隨後向他證實了這一發現。但是,”微軟已經決定不會在當前版本的Windows中修復這個問題,並同意我們能夠在博客上公開報導這個案例和我們的發現。”在引用源強調的一篇博客文章中如此描述。
安全研究員、KZen Networks的創始人Tal Be’ery也指出,有證據表明該缺陷在2018年夏天就被發現了,不知為何微軟當時就決定不打補丁。
微軟則迴避了關於為什麼要等到現在才打補丁的問題。但更糟糕的是,微軟在2018年不發布修復程序,等到2020年8月才解決操作系統缺陷,這意味著本身就暴露在攻擊之下的Windows 7設備不再獲得補丁,因為其非付費性質的支持早在2020年1月就結束了。