修订版
- 1.0：2020 年 2 月 28 日，初始版
摘要
Veritas System Recovery 受到 Microsoft Windows CryptoAPI 漏洞 CVE-2020-0601 影响。
| 问题 | 描述 | 严重性 | 修正版本 |
|---|---|---|---|
1 |
Veritas System Recovery 受到 Microsoft Windows CryptoAPI 漏洞 CVE-2020-0601 影响，该漏洞与验证 ECC 代码签名证书有关。 |
严重 |
无 |
问题
2020 年 2 月，Microsoft 针对 Windows CryptoAPI 中攻击者可以利用的一个严重问题发布了安全通报，称攻击者可“使用仿冒代码签名证书签发恶意可执行软件，使文件看似来自可信的合法来源”。某些情况下，Veritas System Recovery (VSR) 会验证代码签名证书，因此会受到此漏洞影响。受影响的情况包括：
- 产品初始安装期间
- 安装产品更新期间
- 使用 VMware ESX 服务器执行物理到虚拟操作期间
受影响的版本
当在易受攻击的 Windows 版本上运行时，所有 VSR 版本均会受到影响。Windows 10、Windows Server 2016 和 2019 的未修补版本易受攻击。Windows 的其他所有版本不是此问题的易受攻击对象。
补救措施
补救此问题的唯一方法是安装 Microsoft 为修复此漏洞提供的 Windows 更新。无法通过更新 VSR 解决此问题，因为此漏洞出现在 Microsoft Windows 上，而非 VSR 上。
缓解方案
避免执行某些任务可缓解出现漏洞的三种情况：
- 安装 Windows 更新之前，请勿在系统上执行 VSR 初始安装。
- 安装 Windows 更新之前，请勿在系统上安装 VSR 更新。
- 在受到保护的系统上安装 Windows 更新之前，请勿在与 ESX 相关的系统上执行 P2V 操作。
用户可能可以继续在易受攻击的系统上执行备份和非 P2V 还原，而没有触发漏洞的风险。
参考资料