Windows安全通道驚爆漏洞Winshock，衝擊可比Hearbleed和Shellshock

Windows安全通道漏洞驚報漏洞，微軟日前發布列為重大等級的MS14-066資訊安全公告，揭露了潛藏在Windows安全通道（Secure Channel，Schannel）中的漏洞CVE-2014-6321，影響產品包括了微軟個人端和伺服器端的作業系統產品。

駭客可以透過特製的問題封包在Windows安全通道中遠端執行和使用惡意程式碼，並藉此漏洞入侵系統。Windows安全通道是落實Windows SSL/TLS協定的元件之一，這個在安全通道中的臭蟲Winshock就像是OpenSSL的網路臭蟲Heartbleed，因此，這個CVE-2014-6321安全漏洞又稱為Winshock漏洞。受影響的微軟產品包括了個人端作業系統Windows Vista SP2、Windows 7 SP1、Windows 8到Windows 8.1，以及伺服器作業系統Windows Server 2003 SP2、2008 SP2、2008 R2 SP1、2012到2012 R2。另外還包括了微軟平板Windows RT和Windows RT 8.1。微軟已釋出更新。

此外，Winshock並不像Heartbleed漏洞涉及OpenSSL開放源碼網路傳輸加密函式庫，所以並非每間開源廠商或每個用戶軟體都需要修補此問題，並且釋出自己的修補包。

不過，在思科Talos安全情報和研究團隊的部落格中卻表示，MS14-066涉及一個常見漏洞揭露CVE-2014-6321，該漏洞在微軟Windows安全通道中的安全封包，同時也涉及了提供應用程式的安全協定支援，雖然該漏洞是單一的CVE，但是實際上卻包含了多個漏洞，範圍廣從緩衝區到憑證驗證。

Rapid7資深資安工程經理Ross Barrett表示，目前CVE-2014-6321漏洞的影響還不大，但是如果攻擊代碼洩漏，該漏洞將會成為嚴重的問題，且影響會擴大。

目前，微軟也尚未接到有關該漏洞已公開用來攻擊用戶的消息，而微軟在官網也表示，此資安更新可以修正安全通道清理特製封包的方式，進而消除此項資安風險。