Microsoft diz que a sua implementação de SSL / TLS em todas as versões do Windows é vulnerável à FREAK ataque criptografia de rebaixamento.
Isto significa que se você estiver usando o Windows, o invasor na sua rede pode potencialmente forçar Internet Explorer e outros softwares utilizando o componente do Windows Secure Channel para usar a criptografia fraca através da web.
Ligações interceptadas HTTPS pode ser facilmente quebrado, revelando informações confidenciais, como cookies de login, mas somente se o site ou serviço na outra extremidade ainda está a apoiar-1990 era criptografia (e milhões de sites ainda são).
"A Microsoft tem conhecimento de uma vulnerabilidade de bypass recurso de segurança no Secure Channel (Schannel) que afeta todas as versões com suporte do Microsoft Windows", diz Redmond em um comunicado .
"Nossa investigação verificou que a vulnerabilidade pode permitir que um invasor forçar a desclassificação dos conjuntos de codificação usados em uma conexão SSL / TLS em um sistema cliente do Windows.
"Quando este comunicado de segurança foi lançado, a Microsoft não recebeu nenhuma informação indicando que esta questão tenha sido usada publicamente para atacar clientes."
O bug (CVE-2015-1637) no Windows ' Secure Channel componente não é pensado para estar sob ataque ativo por bisbilhoteiros no momento da escrita.
A FREAK (Factoring ataque à RSA-EXPORTAÇÃO Keys) bagunça revelou esta semana permite que bandidos para descriptografar cookies de login e outras informações sensíveis a partir de conexões HTTPS para navegadores vulneráveis.
Redmond está empurrando os detalhes de mecanismos de defesa por meio de seu Programa de Proteções ativos Microsoft. Oferece soluções alternativas imperfeitas incluindo mudando de o registo no Server 2003 para desativar vulneráveis cifras de troca de chaves que adverte poderia causar "problemas sérios".
Até agora, o Google Chrome para OS X anterior à versão 41.0.2272.76 e BlackBerry OS 10.3 são conhecidos por serem vulneráveis. Os usuários podem visitar freakattack.com para determinar sua exposição browser.
Centenas de provedores de cloud computing ainda não se moveram contra a vulnerabilidade. Skyhigh Networks relata 766 serviços em nuvem ainda estavam em risco um dia depois de FREAK foi tornado público, com base em uma análise de mais de 10.000 diferentes serviços.
A maioria das empresas utilizadas 122 serviços potencialmente vulneráveis que apontavam que os serviços em nuvem populares são desproporcionalmente afetados pela patching lenta contra FREAK. ®
Nenhum comentário:
Postar um comentário