Microsoft introduceerde onlangs een patch voor
CVE-2020-0601, een kwetsbaarheid in het Windows-‘crypt32.dll’-component die kwaadwillende hackers in staat kan stellen spoofing-aanvallen te lanceren. De kwetsbaarheid werd ontdekt en gerapporteerd door onderzoekers van het National Security Agency (NSA). CVE-2020-0601 treft Windows 10- en Windows Server 2016/2019-systemen.
Het gaat om een serieuze kwetsbaarheid en patches dienen onmiddellijk te worden toegepast. Een hacker is in staat misbruik te maken van deze kwetsbaarheid met behulp van een gespoofd code-signing certificate. Dit houdt in dat een hacker je malware kan laten downloaden en installeren die zich met een gespoofde digitale handtekening bijvoorbeeld voordoet als een software-update. Enkele voorbeelden waar hackers kunnen toeslaan:
- HTTPS-verbindingen
- Ondertekende bestanden en e-mails
- Ondertekende uitvoerbare bestanden gelanceerd als usermode-processen
Exploits/PoC:
Op dit moment zijn er geen publieke meldingen van actieve exploits of PoC. NSA benadrukt echter het volgende:
“Het is goed mogelijk dat remote-exploitation-tools op korte termijn algemeen beschikbaar zijn.”
CVE-2020-0601 opsporen met Qualys VM
De beste methode voor het identificeren van kwetsbare hosts is via de
Qualys Cloud Agent of via Qualys authenticated scanning. Qualys heeft een speciale QID (91595) uitgegeven voor
Qualys Vulnerability Management die alleen CVE-2020-0601 dekt binnen alle getroffen besturingssystemen. Deze QID zal deel uitmaken van signature-versie VULNSIGS-2.4.791-3 en vereist authenticated scanning of de
Qualys Cloud Agent. Cloud Agents ontvangen deze nieuwe QID automatisch, als onderdeel van manifestversie 2.4.791-202. Je kunt binnen AssetView of het
VM Dashboard naar de patch zoeken door de volgende QQL-query te gebruiken:
vulnerabilities.vulnerability:qid:91595
vulnerabilities.vulnerability.cveId:CVE-2020-0601
Herstel met Qualys Patch Management
Klanten die gebruikmaken van
Qualys Patch Management met
Cloud Agent kunnen in de Patch Catalog zoeken naar cve:’CVE02020-0601’ en vervolgens in het zijpaneel op ‘Missing’ klikken om de juiste patches te vinden en toe te passen op alle getroffen besturingssystemen.
Voor nood-patching creëer je een On-demand Job en pas je deze toe op de ‘Cloud Agent’-tag, zodat alle hosts gedekt zijn. Voor continue patching is een Daily Job aan te maken met een 24-uurs ‘Patch Window’, om ervoor te zorgen dat alle hosts de benodigde patches blijven ontvangen. Bij deze patch hoeft het apparaat niet opnieuw te worden opgestart.
Het is niet nodig om voor elk specifieke besturingssysteem een apart patchopdracht aan te maken. De Qualys Cloud Agent weet voor elke host precies welke patch nodig is.Je kunt binnen
Qualys Patch Management naar de patch zoeken door de volgende QQL-query te gebruiken:
cve:’CVE-2020-0601’ met als patch-status: ‘Missing’
Qualys Threat Protection
Ook kunnen Qualys-klanten kwetsbare hosts opsporen via
Qualys Threat Protection. Zo is deze kwetsbaarheid effectief te identificeren en te volgen.
Schadebeperking
Start nu
Start nu met het opsporen en herstellen van deze kwetsbaarheid, meld je aan voor een
Qualys Suite trial.