Пользователи Windows были несколько расстроены, что Heartbleed их практически не затронул, в то время как уязвимость шифрования OpenSSL подвергла опасности две трети всех серверов в интернете. Теперь же и они могут повеселиться, ведь у них есть аналогичная уязвимость!
Microsoft опубликовала Security Bulletin MS14-066, в котором описывается критический баг в SChannel — реализации SSL/TLS от Microsoft, который позволяет злоумышленнику удаленно выполнять произвольный код.
Обновления, закрывающую уязвимость, уже доступны через Windows Update. Подвержены все версии Windows, начиная с 2003, в том числе и Windows RT. Это позволяет предположить, что уязвимость имеется не только на стороне сервера, но и на стороне клиента. Согласно некоторым данным, уязвимость была найдена внутри Microsoft в ходе тестирования безопасности продуктов, так что можно полагать, что уязвимость ранее не эксплуатировалась.
Версии Windows, подверженные уязвимости:
Cisco нам подсказывает, что этот CVE покрывает сразу несколько багов: от переполнения буфера до обхода валидации сертификатов. Кроме всего прочего, в обновлении добавлены новые способы шифрования (ciphersuites) с использованием AES-GCM. Следует обновиться как можно быстрее.
Axarhöfði 14,
110 Reykjavik, Iceland