حذر تقرير صادر عن شركة الأمن السيبراني أكامي Akamai من ثغرة أمنية خطيرة في واجهة برمجة التطبيقات المشفرة الخاصة بمنصة مايكروسوفت (ويندوز كريبتو أيه بي آي Windows CryptoAPI) والتي تسمح للمهاجمين بالتنكر ككيان شرعي.
وأوضح التقرير أن الثغرة الأمنية CVE-2022-34689، التي أعلن عنها في أكتوبر 2022. بلغت درجة خطورتها 7.5 درجة من 10 في نظام تسجيل نقاط الضعف المشترك CVSS، مبينا أن ذلك يرجع إلى النطاق المحدود للتطبيقات الضعيفة ومكونات ويندوز Windows التي يتم فيها استيفاء المتطلبات الأساسية للثغرة الأمنية.
وتابع التقرير أن الهجوم عبر هذه الثغرة يتدفق في مرحلتين، حيث تتطلب المرحلة الأولى أخذ شهادة شرعية وتعديلها وتقديم النسخة المعدلة للضحية، بينما تتضمن المرحلة الثانية إنشاء شهادة جديدة تتعارض خوارزمية التشفير إم دي فايف MD5 الخاصة بها مع الشهادة الشرعية المعدلة، ومن ثم استخدام الشهادة الجديدة لانتحال هوية موضوع الشهادة الأصلية، مضيفا أن الشهادات تلعب دورًا رئيسيًا في التحقق من الهوية عبر الإنترنت، مما يجعل هذه الثغرة الأمنية مربحة للمهاجمين.
وأشار التقرير إلى أن الباحثين وجدوا أنه يمكن استغلال الإصدارات القديمة من كروم Chrome (الإصدار 48 والإصدارات الأقدم) والتطبيقات المستندة إلى كروميوم Chromium. ولفت إلى أنه لا يزال هناك الكثير من التعليمات البرمجية التي تستخدم واجهة برمجة التطبيقات هذ وقد يعرضها لخطر هذه الثغرة الأمنية، مما يستدعي تحديثا حتى للإصدارات المتوقفة من ويندوز، مثل Windows 7.
الشركة نصحت المستخدمين بتصحيح خوادم ويندوز Windows باستخدام أحدث تصحيح أمان أصدرته ميكروسوفت Microsoft. وبالنسبة للمطورين، تقول أكامي إن هناك خيار آخر للتخفيف من هذه الثغرة الأمنية وهو استخدام واجهة برمجة تطبيقات ويندوز WinAPIs الأخرى للتحقق مجددا من صلاحية الشهادة قبل استخدامها، مثل CertVerifyCertificateChainPolicy، مع الأخذ في الاعتبارأن التطبيقات التي لا تستخدم التخزين المؤقت للشهادة النهائية ليست عرضة للهجوم.
يشار إلى أن ويندوز كريبتو أيه بي آي Windows CryptoAPI عبارة عن مجموعة من وظائف التشفير التي توفرها مايكروسوفت Microsoft في نظام التشغيل ويندوز Windows الخاص بها، حيث يوفر خدمات لتشفير وفك تشفير البيانات بشكل آمن، ويتم استخدام كريبتو إيه بي آي CryptoAPI بواسطة العديد من تطبيقات ومكونات ويندوز لتأمين المعلومات الحساسة، مثل كلمات المرور والبيانات المالية، ولضمان مصداقية وسلامة البيانات المنقولة عبر الشبكات.
المصدر: Akamai | ترجمة بتصرف/ مشروع الحقوق الرقمية
Tech Spot :Image by