Microsoft Windows CryptoAPI spoofing-kwetsbaarheid (CVE-2020-0601): opsporen en herstellen

Microsoft introduceerde onlangs een patch voor CVE-2020-0601, een kwetsbaarheid in het Windows-‘crypt32.dll’-component die kwaadwillende hackers in staat kan stellen spoofing-aanvallen te lanceren. De kwetsbaarheid werd ontdekt en gerapporteerd door onderzoekers van het National Security Agency (NSA). CVE-2020-0601 treft Windows 10- en Windows Server 2016/2019-systemen. 

Het gaat om een serieuze kwetsbaarheid en patches dienen onmiddellijk te worden toegepast. Een hacker is in staat misbruik te maken van deze kwetsbaarheid met behulp van een gespoofd code-signing certificate. Dit houdt in dat een hacker je malware kan laten downloaden en installeren die zich met een gespoofde digitale handtekening bijvoorbeeld voordoet als een software-update. Enkele voorbeelden waar hackers kunnen toeslaan:

  • HTTPS-verbindingen
  • Ondertekende bestanden en e-mails
  • Ondertekende uitvoerbare bestanden gelanceerd als usermode-processen

Exploits/PoC:

Op dit moment zijn er geen publieke meldingen van actieve exploits of PoC. NSA benadrukt echter het volgende: “Het is goed mogelijk dat remote-exploitation-tools op korte termijn algemeen beschikbaar zijn.” 

CVE-2020-0601 opsporen met Qualys VM

De beste methode voor het identificeren van kwetsbare hosts is via de Qualys Cloud Agent of via Qualys authenticated scanning. Qualys heeft een speciale QID (91595) uitgegeven voor Qualys Vulnerability Management die alleen CVE-2020-0601 dekt binnen alle getroffen besturingssystemen. Deze QID zal deel uitmaken van signature-versie VULNSIGS-2.4.791-3 en vereist authenticated scanning of de Qualys Cloud Agent. Cloud Agents ontvangen deze nieuwe QID automatisch, als onderdeel van manifestversie 2.4.791-202. Je kunt binnen AssetView of het VM Dashboard naar de patch zoeken door de volgende QQL-query te gebruiken:

vulnerabilities.vulnerability:qid:91595

vulnerabilities.vulnerability.cveId:CVE-2020-0601 

q1

Herstel met Qualys Patch Management

Klanten die gebruikmaken van Qualys Patch Management met Cloud Agent kunnen in de Patch Catalog zoeken naar cve:’CVE02020-0601’ en vervolgens in het zijpaneel op ‘Missing’ klikken om de juiste patches te vinden en toe te passen op alle getroffen besturingssystemen.

Voor nood-patching creëer je een On-demand Job en pas je deze toe op de ‘Cloud Agent’-tag, zodat alle hosts gedekt zijn. Voor continue patching is een Daily Job aan te maken met een 24-uurs ‘Patch Window’, om ervoor te zorgen dat alle hosts de benodigde patches blijven ontvangen. Bij deze patch hoeft het apparaat niet opnieuw te worden opgestart. 

Het is niet nodig om voor elk specifieke besturingssysteem een apart patchopdracht aan te maken. De Qualys Cloud Agent weet voor elke host precies welke patch nodig is.Je kunt binnen Qualys Patch Management naar de patch zoeken door de volgende QQL-query te gebruiken:

cve:’CVE-2020-0601’ met als patch-status: ‘Missing’ 

Qualys Threat Protection

Ook kunnen Qualys-klanten kwetsbare hosts opsporen via Qualys Threat Protection. Zo is deze kwetsbaarheid effectief te identificeren en te volgen. 

Q2

Schadebeperking

Start nu

Start nu met het opsporen en herstellen van deze kwetsbaarheid, meld je aan voor een Qualys Suite trial.