Microsoft rendszereket érintő illetéktelenül kiállított weboldal tanúsítványok


2015. március 17. 20:56

CH azonosító

CH-12075

Angol cím

Improperly Issued Digital Certificates Could Allow Spoofing

Felfedezés dátuma

2015.03.15.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft

Érintett verziók

Windows Server 2003 Service Pack 2
Windows Server 2003 x64 Edition Service Pack 2
Windows Server 2003 SP2 Itanium-alapú rendszerekhez
Windows Vista Service Pack 2
Windows Vista x64 Edition Service Pack 2
Windows Server 2008 32 bites rendszerekhez Service Pack 2
Windows Server 2008 x64-alapú rendszerekhez Service Pack 2
Windows Server 2008 for Itanium-alapú rendszerekhez Service Pack 2
Windows 7 32 bites rendszerekhez Service Pack 1
Windows 7 x64-alapú rendszerekhez Service Pack 1
Windows Server 2008 R2 x64-alapú rendszerekhez Service Pack 1
Windows Server 2008 R2 for Itanium-alapú rendszerekhez Service Pack 1
Windows 8 32 bites rendszerekhez
Windows 8 x64-alapú rendszerekhez
Windows 8.1 32 bites rendszerekhez
Windows 8.1 x64-alapú rendszerekhez
Windows RT
RT a Windows 8.1
Windows Server 2012
Windows Server 2012 R2
Windows Phone 8
Windows Phone 8.1

Összefoglaló

A Microsoft figyelmeztetést adott ki, hogy a Microsoft egyik weboldalára (live.fi) egy illetéktelen SSL tanúsítvány lett kiadva, amelyet a rosszakaratú támadók adathalász tevékenység végrehajtására és man in the middle támadásra használhatnak.

Leírás

A felhasználók védelmére a digitális tanúsítványt már visszavonta a kibocsájtó CA. A Microsoft azon a véleményen van, hogy jelenleg nincsenek folyamatban lévő támadások, azonban frissítéseket adott ki (mely csak az újabb Windows verzíók esetében települ automatikusan), hogy letiltsa az érintett tanúsítványokat. Továbbá a Microsoft frissítette a tanúsítvány visszavonási listát (CRL) minden támogatott Microsoft Windows-hoz.

Megoldás

Telepítse a javítócsomagokat

Megoldás

A Windows 8, 8.1, Server 2012, Server 2012 R2 és a Windows Phone 8 és 8,1 egy automatikus frissítést kapott, amely alkalmazkodik a megbízható tanúsítványok listájához az operációs rendszeren keresztül.

A Windows Vista, Windows 7, Server 2008, Server 2008 R2 és a Server 2003 verzióit kézzel kell frissíteni KB2917500.

Támadás típusa

Authentication Issues (Hitelesítés)
Hijacking (Visszaélés)
Information disclosure (Információ/adat szivárgás)
Manipulation of data
man in the middle

Szükséges hozzáférés

Remote/Network (Távoli/hálózat)

Hivatkozások

Gyártói referencia: technet.microsoft.com
Gyártói referencia: support.microsoft.com
Egyéb referencia: heise.de

Legfrissebb sérülékenységek
CVE-2026-0625 – D-Link DSL Command Injection via DNS Configuration Endpoint sérülékenység
CVE-2020-12812 – Fortinet FortiOS SSL VPN Improper Authentication sérülékenysége
CVE-2025-14733 – WatchGuard Firebox Out of Bounds Write sérülékenység
CVE-2023-52163 – Digiever DS-2105 Pro Missing Authorization sérülékenység
CVE-2025-14847 – MongoDB and MongoDB Server Improper Handling of Length Parameter Inconsistency sérülékenység
CVE-2025-40602 – SonicWall SMA1000 Missing Authorization sérülékenysége
CVE-2025-59374 – ASUS Live Update Embedded Malicious Code sérülékenysége
CVE-2025-20393 – Cisco Multiple Products Improper Input Validation sérülékenysége
CVE-2025-58360 – OSGeo GeoServer Improper Restriction of XML External Entity Reference sérülékenysége
CVE-2018-4063 – Sierra Wireless AirLink ALEOS Unrestricted Upload of File with Dangerous Type sérülékenysége
Tovább a sérülékenységekhez »