Microsoft heeft patches beschikbaar gesteld voor recente versies van Microsoft Windows. Deze patches bevatten belangrijke updates die het Nationaal Cyber Security Centrum (NCSC) als 'high/high' aanmerkt en daarom met grote prioriteit moeten worden geïnstalleerd. Het betreft patches voor Windows CryptoAPI en Windows RDP Gateway server die misbruik van kwetsbaarheden moeten voorkomen. Het NCSC kwam deze week ook met een high/high beveiligingsadvies inzake een kwetsbaarheid in Citrix-servers.
Met de Windows CryptoAPI kwetsbaarheid, CVE-2020-0601, kan een cybercrimineel Elliptic Curve Cryptography (ECC) certificaten genereren die door Windows geaccepteerd worden. Deze certificaten kunnen dan gebruikt worden voor het versleutelen van netwerkverkeer of voor het tekenen van executables. Daarmee kan een kwaadwillende een man-in-the-middle aanval uitvoeren op netwerkverbindingen, of malafide executables maken met valide certificaten. Het is mogelijk dat andere software die gebruik maakt van de CryptoAPI om ECC-certificaten te valideren ook kwetsbaar is.
Juiste validatie certificaten
De patch voor CVE-2020-0601 zorgt ervoor dat ECC-certificaten op de juiste manier gevalideerd worden. Deze certificaten kunnen daarna niet meer gebruikt worden voor een man-in-the-middle aanval. Voor malafide executables met deze specifieke certificaten komen meldingen in de Windows Logs. Het NCSC adviseert om Windows Logs te monitoren op deze meldingen na het updaten. Software die gebruik maakt van de CryptoAPI zal na het installeren van de patch de juiste validatie resultaten krijgen van ECC-certificaten.
De CryptoAPI kwetsbaarheid (CVE-2020-0601) is alleen aanwezig in Windows 10 en Windows Server 2016 & 2019. Andere versies van Windows bevatten deze kwetsbaarheid niet.
Toegang tot netwerken, DoS-aanval
Met de Windows RDP Gateway kwetsbaarheden, CVE-2020-0609, CVE-2020-0610 en CVE-2020-0612, kan een hacker RDP Gateway-servers aanvallen. De eerste twee kwetsbaarheden maken het mogelijk om code uit te voeren op RDP Gateway servers en toegang te krijge tot het lokale netwerk en systemen. Met de derde kwetsbaarheid kan een kwaadwillende een Denial-of-Service aanval uitvoeren op de RD(P) Gateway-server. De update lost de kwetsbaarheden op door te corrigeren hoe RDP Gateway-netwerkverbindingen behandelt.
In een update schrijft het NCSC dat organisaties de noodzaak moeten overwegen om RDP via internet toegankelijk te houden. Misbruik van RDP kan leiden tot veel schade, ook als de toepassing up-to-date is. Het biedt tegelijkertijd functionaliteit voor beheer op afstand die niet per se vanaf internet bereikbaar moet zijn. Het NCSC adviseert te inventariseren waarvoor een organisatie RDP gebruikt en of het belang van deze gevallen opweegt tegen de bijbehorende risico’s.
