В криптографическом компоненте Windows обнаружена «необычайно серьёзная» уязвимость, которая затрагивает все версии системы за последние 20 лет, начиная с Windows NT 4.0. Об этом сообщил портал KrebsOnSecurity со ссылкой на собственные источники.
Как утверждает журналист Брайан Кребс, сегодня Microsoft должна выпустить патч, который закроет уязвимость. Компания, по информации Кребса, заранее уведомила о проблеме некоторых особо важных пользователей, в частности, оборонные предприятия в США и другие государственные организации, попросив их при этом подписать документ о неразглашении информации о сути уязвимости до выхода исправления.
Как указывает KrebsOnSecurity, уязвимость касается модуля crypt32.dll, который отвечает за сертификаты и обмен зашифрованными сообщениями в CryptoAPI. С помощью CryptoAPI разработчики обеспечивают защиту программ для Windows. Критическая уязвимость в этом компоненте, отмечает KrebsOnSecurity, может нарушить работу сразу нескольких важных функций Windows, включая аутентификацию на ПК и серверах на Windows. Также она угрожает безопасности конфиденциальных данных, которые обрабатывают браузеры Microsoft Internet Explorer/Edge, и некоторых сторонних приложений и инструментов.
Также, как подчёркивает KrebsOnSecurity, найденную уязвимость могут использовать злоумышленники для спуфинга цифровой подписи к ПО, что позволит им выдать вредоносную программу за легитимную, выпущенную и подписанную добросовестным разработчиком.
В ответ на запрос KrebsOnSecurity компания Microsoft заявила, что она не обсуждает детали обнаруженных уязвимостей до того, как появится обновление. Компания также отказалась подтвердить информацию о том, что некоторые пользователи могли получить обновление раньше других, подчеркнув, что она «не выпускает обновления раньше запланированного срока».
«В рамках нашей программы проверки обновлений (SUVP) мы выпускаем предварительные версии обновлений, чтобы проверить их совместимость в лабораторных условиях. Участникам этой программы по контракту запрещено применять обновление вне тестовых испытаний», — приводит портал заявление Microsoft.
Ранее Уилл Дорман, исследователь безопасности, автор нескольких отчётов об уязвимостях для координационного центра CERT (CERT-CC), опубликовал в твиттере сообщение, в котором рекомендовал обратить особое внимание на грядущее обновление Windows, но не пояснил, по какой причине. Сегодня, по информации Брайана Кребса, в американскую прессу поступила информация о том, что уязвимость обнаружили специалисты Агентства национальной безопасности США. По словам представителей АНБ, проблема затрагивает Windows 10 и Windows Server 2016.
Тем временем, сегодня Microsoft официально прекратила поддержку Windows 7. Пользователи могут работать на этой ОС, однако компания перестанет выпускать обновления для неё. Таким образом, система не получит патч и для найденной уязвимости.
«Без обновлений программного обеспечения и системы безопасности вы подвергаетесь повышенной угрозе вирусов и вредоносного ПО», — предупредила Microsoft.
Звенящее одиночество: 7 идеальных уединённых домиков для тех, кто устал от людей