Google Chrome新版本可防止Windows CryptoAPI验证漏洞攻击 文/林妍溱 | 2020-01-17发表 Google 周四释出Chrome 79.0.3945.130，以减缓和Windows密码元件漏洞造成的网钓攻击 风险，以及修补另外三项可让骇客透过Chrome骇入电脑的漏洞。 Google Chrome新版本解决的第一项问题，和Windows CryptoAPI的CVE-2020-0601有关。 它影响Windows中名为CryptoAPI 处理的加密元件，後者作用在让开发人员为其软体加入 数位签章以防被窜改。该漏洞可让骇客发送恶意程式码，以假凭证通过签章验证以冒充可 信赖方的内容，包括档案、电子邮件或网站，对终端用户发送中间人（ man-in-the-middle，MiTM）或网钓攻击。该漏洞被列为「重要」风险（但非最高的「重 大」），但因是由过去恶名昭彰的美国国安局（NSA）通报微软而受人瞩目。微软已经在 周二的Patch Tuesday中予以修补。 Chrome版79.0.3945.130 增加在Chrome用户连入网站前，验证网站凭证完整性的能力。 Google开发人员Ryan Sleevi指出，新版Chrome尚不完美，但在用户安装Windows修补程式 前已足以提供保护。BleepingComputer测试显示，在未安装修补程式的Windows 10 电脑 上，若先升级到Chrome 79.0.3945.130，用户再连上研究人员设立的假网站时，Chrome就 会警告连线不安全，攻击者可能从网站上试图窃取用户资讯。 这项功能来得正是时候，因为一名安全研究人员已经在漏洞及修补程式发布不到24小时内 ，公开概念验证攻击，利用假的TLS凭证冒充NSA及GitHub网站，并骗过数个浏览器，包括 Chrome、IE的检查而放行用户造访。 除了CryptoAPI的相关验证不足问题外，新版Chrome 79还另外修补了三项漏洞，其中 CVE-2020-6378及CVE-2020-6379可让骇客诱骗用户连上恶意网站，触发UAF（ Use-After-Free）错误而执行恶意程式码。CVE-2020-63-80则出在外挂程式处理元件的验 证不足，用户若不慎下载恶意外挂，将可能遭骇入系统。其中CVE-2020-6378属风险等级 最高的「重大」漏洞，其余则为「高度」风险。 安全公司Kudelski Security指出，除了Firefox，Chromium-based的浏览器和旧IE都受影 响。微软方面没提出官方说明。但安全部落Swift on Security指称，微软昨日公开释出 的新版Chromium-based Edge也能提供防护。 https://www.ithome.com.tw/news/135418 所以FF没这个问题?还是FF早就已经修补这个漏洞了? -- --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 122.116.4.227 (台湾) ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Browsers/M.1579284182.A.B3C.html ※ 编辑: hn9480412 (122.116.4.227 台湾), 01/18/2020 02:04:35