Trusted DesignCVE-2020-0601 の詳細
CVEの情報
説明:
A spoofing vulnerability exists in the way Windows CryptoAPI (Crypt32.dll) validates Elliptic Curve Cryptography (ECC) certificates.An attacker could exploit the vulnerability by using a spoofed code-signing certificate to sign a malicious executable, making it appear the file was from a trusted, legitimate source, aka 'Windows CryptoAPI Spoofing Vulnerability'.
CVE更新日: 2020-01-14 23:15:30.207000
CVSSバージョン: 3.1
CVSSスコア: 8.1
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.894360000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
「CurveBall」とも呼ばれるCVE-2020-0601は、Windows CryptoAPI (Crypt32.dll)における楕円曲線暗号 (ECC) 証明書の検証方法に存在するスプーフィングの脆弱性です。
1. 脆弱性の概要
この脆弱性は、Windows CryptoAPIがECC証明書を検証する方法に不備があることによって発生します。攻撃者は、この脆弱性を悪用して、偽装されたコード署名証明書を用いて悪意のある実行ファイルに署名し、そのファイルを信頼できる正規の提供元からのものであるかのように見せかけることができます。これにより、マルウェアが正規のソフトウェアとしてシステムに認識され、アンチウイルスやその他のセキュリティソリューションを回避する可能性があります。
1.1 影響 攻撃者は、以下の様な影響を及ぼす可能性があります。 * コード署名検証のバイパス: 偽造されたデジタル署名や証明書により、マルウェアが信頼された発行元からの正規のソフトウェアとして認識されることで、コード署名検証を回避できます。 * 中間者攻撃 (Man-in-the-Middle): 攻撃者は、信頼されたルートに連鎖する偽装されたTLS証明書を作成し、HTTPS接続に対して中間者攻撃を仕掛けることができます。 * 署名付きドキュメントの偽装: 攻撃者はドキュメントのデジタル署名を偽造し、信頼されたエンティティからのものであるかのように見せかけることができます。 * 機密情報の復号: この脆弱性は、影響を受けるソフトウェアの機密情報の復号を可能にする可能性があります。
この脆弱性はCISAの既知の悪用されている脆弱性カタログに記載されており、実際に悪用されていることが確認されています。
1.2 深刻度 Microsoftは当初この脆弱性を「重要 (Important)」に分類していましたが、NSA（アメリカ国家安全保障局）は「深刻 (severe)」であると評価し、広く悪用される可能性があると警告しました。NVD (National Vulnerability Database) におけるCVSSv3.1の基本評価は8.1 (High) です。
2. 対象となる環境
2.1 影響を受けるOSバージョン 以下のWindows OSバージョンが影響を受けます。 * Microsoft Windows 10 (バージョン 1507, 1607, 1709, 1803, 1809, 1903, 1909) * Microsoft Windows Server 2016 * Microsoft Windows Server 2019 * Microsoft Windows Server (バージョン 1803, 1903, 1909)
また、Golang Goも関連する証明書検証の問題によって影響を受ける可能性があります。
2.2 影響を受ける設定 本脆弱性は、明示的に定義された楕円曲線パラメーターを使用するECC証明書の検証において、Windows CryptoAPIがルート証明書のパラメーターと適切に検証できないことに起因します。 特に、以下の機能やサービスが影響を受ける可能性があります。 * HTTPS接続 * 署名されたファイルやメール * ユーザーモードで起動される署名済み実行可能プログラム * TLS検証を実行するWindowsベースのウェブアプライアンス、ウェブサーバー、プロキシ * コード署名を検証するシステム、TLS/HTTPSトラフィックを処理するシステム、または機密性の高い証明書操作を処理するシステム
3. 影響を受けた時の兆候
この脆弱性を悪用するマルウェアは様々な兆候を示す可能性があります。 具体的には、以下のような兆候を監視することが推奨されます。 * Windowsイベントログで、Crypt32.dllの操作に関連するイベントID 4660（オブジェクト削除）およびイベントID 4663（オブジェクトアクセス）を監視する。 * OID参照された名前付き曲線ではなく、明示的に定義された曲線パラメーターを持つTLS証明書がないかネットワークを監視する。 * 非標準のECCパラメーターを含む証明書で署名された実行ファイルをフラグ付けするエンドポイント検出ルールを展開する。 * 異常なパラメーターで信頼されたルートに連鎖すると主張する証明書を検出するために、証明書透過性監視を使用する。 * セキュリティ更新プログラムが適用されたシステム上で、アプリケーションメッセージ「CVE-2020-0601」のアラートを収集することで、悪用を試みる可能性のあるイベントを探索できます。
4. 推奨対策
4.1 本対策 * Microsoftのセキュリティ更新プログラムの適用: Microsoftは、2020年1月の月例パッチの一部として、この脆弱性に対処するセキュリティ更新プログラムをリリースしました。 すべての影響を受けるWindowsシステムにこの更新プログラムを直ちに適用することが最も重要です。 このパッチは、Windows CryptoAPIがECC証明書を完全に検証するように修正します。 * Windows Updateプログラムを使用して、2020年1月にリリースされた新しいセキュリティ更新プログラムまたは累積更新プログラムをインストールします。 * Microsoftの公式WebサイトからCVE-2020-0601 Windows CryptoAPI Spoofing Vulnerabilityのパッチをダウンロードしてインストールします。
4.2 暫定回避策（緩和策） 明確な暫定回避策は示されていませんが、以下の対策が推奨されます。 * システムの隔離: 悪用や悪意のあるソフトウェアの拡散を防ぐため、影響を受けるシステムをネットワークから直ちに隔離します。 * 証明書の失効と更新: 偽装または侵害されたと特定された証明書を失効させ、将来の悪用を防ぐために証明書信頼リストを更新します。 * Windows Defender Credential Guardの有効化: サポートされているシステムでは、Windows Defender Credential Guardを有効にして、追加の保護層を追加します。 * TLSプロキシでの証明書検証の有効化: TLSプロキシで証明書検証が有効になっていることを確認します。 * Chromeブラウザの更新: Chromeブラウザを使用しているユーザーは、バージョンを最新に更新することが推奨されます。
参照したサイト