Windows CryptoAPI 漏洞概述
关键要点
- Akamai 研究人员开发了一个概念验证的漏洞利用程序,针对已修复的 Windows CryptoAPI 漏洞。
- 漏洞编号为 CVE-2022-34689,攻击者可以利用此漏洞进行合法实体的伪装。
- 漏洞影响 Windows 的证书管理和相关的加密功能。
- 攻击需要计算机未安装 2022 年 8 月发布的补丁,并且应用程序必须使用 CryptoAPI 进行证书验证。
- 超过 99% 的可见数据中心设备存在被攻击的风险。
据《The Record》报道,Akamai 研究人员发现的 Windows CryptoAPI漏洞(CVE-2022-34689)虽然已经得到修复,仍然可以被利用来伪装合法实体。Windows 使用 CryptoAPI 来管理证书和与
相关的问题。Akamai 的报告指出,利用该漏洞可能会绕过关键安全防护。
Akamai 研究员 Yoni Rozenshien 表示:“要利用此漏洞,必须满足两个条件:该计算机缺少 2022 年 8 月发布的 Windows补丁,并且应用程序必须使用 CryptoAPI 进行证书验证,同时启用名为端证书缓存的 CryptoAPI功能。该功能原本旨在提升性能,但其实现中的错误使其变得脆弱。”
研究人员还指出,攻击者可以利用这一漏洞针对 Google Chrome 版本 48 及更早版本以及一些较旧的 Chromium基础应用程序。此外,研究还发现超过 99% 的可见数据中心设备都存在被攻击的风险。
总结 :尽管该漏洞已经修复,因系统未更新和配置不当,依然有大量系统面临风险。对于企业而言,确保及时更新系统和正确配置应用程序至关重要。