微软修复了 2018 年起就存在的 0day 级别 Windows 文件签名漏洞

作为8月11日补丁周二的一部分，一个0day级别的漏洞被修复，它影响到Windows 7、Windows 8.1、Windows 10和几个Windows Server版本，微软还承认已经留意到利用此漏洞发生的攻击已经出现。这是操作系统中的一个欺骗漏洞，详情记录在CVE-2020-1464中，后果是黑客最终可以通过成功利用它来加载不当签名的文件。

“存在一个欺骗漏洞可以令Windows错误地验证文件签名。成功利用该漏洞的攻击者可以绕过安全功能，加载不正当签名的文件。在攻击场景中，攻击者可以绕过旨在防止加载不当签名文件的安全功能。”微软表示，看起来这个缺陷从2018年起就存在。

KrebsOnSercurity透露，该欺骗漏洞最早是由VirusTotal的经理Bernardo Quintero向微软报告的，公司随后向他证实了这一发现。但是，”微软已经决定不会在当前版本的Windows中修复这个问题，并同意我们能够在博客上公开报道这个案例和我们的发现。”在引用源强调的一篇博客文章中如此描述。

安全研究员、KZen Networks的创始人Tal Be’ery也指出，有证据表明该缺陷在2018年夏天就被发现了，不知为何微软当时就决定不打补丁。

微软则回避了关于为什么要等到现在才打补丁的问题。但更糟糕的是，微软在2018年不发布修复程序，等到2020年8月才解决操作系统缺陷，这意味着本身就暴露在攻击之下的Windows 7设备不再获得补丁，因为其非付费性质的支持早在2020年1月就结束了。