Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
15/07/2014
Microsoft informa: "Els certificats digitals emitits incorrectament podrien permetre la suplantació d'identitat"
Microsoft té constància de certificats SSL emesos de forma incorrecta que es podrien usar en intents de suplantar contingut, dur a terme atacs de suplantació d’identitat (phishing) o realitzar atacs del tipus “Man in the middle”.Microsoft té constància de certificats SSL emesos de forma incorrecta que es podrien usar en intents de suplantar contingut, dur a terme atacs de suplantació d’identitat (phishing) o realitzar atacs de tipus “Man in the middle”. Els certificats SSL els va emetre incorrectament National Informatics Centre (NIC), que administra CA subordinades en les CA arrel que administra l’Oficina d’Entitats de Certificació (CCA) del govern de l’Índia, que són CA presents al magatzem d’entitats de certificació arrel de confiança. Este problema afecta a totes les versions compatibles de Microsoft Windows. Microsoft no té constància actualment d’atacs relacionats amb este problema.
La CA subordinada s’ha usat d’una manera inadequada per a emetre certificats SSL d’uns quants llocs, incloent-hi propietats web de Google. Estos certificats SSL es poden usar per a suplantar contingut, dur a terme atacs de suplantació d’identitat (phishing) o realitzar atacs de tipus “Man in the middle” contra les propietats web. Les CA subordinades també es poden haver usat per a emetre certificats per a altres llocs que actualment es desconeixen, que podrien estar sotmesos a atacs semblants.
Per a protegir els clients de l’ús potencialment fraudulent d’este certificat digital, Microsoft actualitzarà la llista de confiança de certificats (CTL) de totes les versions compatibles de Microsoft Windows per a llevar la confiança dels certificats que provoquen este problema. Per a obtindre més informació sobre estos certificats, vegeu la secció Preguntes més freqüents d'este document informatiu.
Sistemes Afectats:Totes les versions compatibles de Microsoft Windows.
Referències:None
Solució:S’hi inclou un actualitzador automàtic dels certificats revocats en les edicions compatibles de Windows 8, Windows 8.1, Windows RT, Windows RT 8.1, Windows Server 2012 i Windows Server 2012 R2, així com per als dispositius amb Windows Phone 8 o Windows Phone 8.1. Per a estos sistemes operatius o dispositius, els clients no han de dur a terme cap acció, perquè la CTL s’actualitzarà automàticament.
Per als sistemes amb Windows Vista, Windows 7, Windows Server 2008 o Windows Server 2008 R2 que usen l’actualitzador automàtic de certificats revocats (vegeu l'article 2677070 de Microsoft Knowledge Base per a obtindre detalls), els clients no han de dur a terme cap acció, perquè la CTL s’actualitzarà automàticament.
Per als sistemes que executen Windows Vista, Windows 7, Windows Server 2008 o Windows Server 2008 R2, i que no tinguen instal·lat l’actualitzador automàtic de certificats revocats, esta actualització no està disponible. Per a rebre esta actualització, els clients han d’instal·lar l’actualitzador automàtic de certificats revocats (vegeu l'article 2677070 de Microsoft Knowledge Base per a obtindre detalls). Els clients en entorns desconnectats i que executen Windows Vista, Windows 7, Windows 8, Windows Server 2008, Windows Server 2008 R2 o Windows Server 2012 poden instal·lar l’actualització 2813430 per a rebre esta actualització (vegeu l'article 2813430 de Microsoft Knowledge Base per a obtindre detalls).
En este moment, no hi ha disponible cap actualització per als clients que executen Windows Server 2003. Microsoft actualitzarà este document informatiu quan hi haja disponible una actualització per als clients de Windows Server 2003.
Per a obtindre més informació, vegeu la secció Accions recomanades d'este document informatiu.
Notes:Publicació informativa de Microsoft: https://technet.microsoft.com/es-es/library/security/2982792