微软于本周发布一安全通报，指称在Windows平台上安装德国耳机企业Sennheiser所开发的HeadSetup及HeadSetup Pro软件的用户可能会遭受中间人（man-in-the-middle，MITM）攻击，呼吁用户尽快更新这两项软件，同时微软也作出了由于。
HeadSetup及HeadSetup Pro都是Sennheiser替高端耳机所打造的软件，当用户于Windows上安装了任一款软件时，它同时会将Sennheiser的CA凭证存放在Windows的Trusted Root CA Certificate Store中。
发现该漏洞的德国网络安全企业Secorvo说明，他们进一步追查后发现这两个软件需要通过CA凭证与Sennheiser的服务器交流，因此也在软件中发现了该凭证的加密私钥，并判断解密程序应该也存放在软件的文件中，也成功找到了解密程序。
假如网络安全企业很轻易就能在系统及软件上找到凭证与密钥，代表这对黑客来说也不难。
由于不管在任何计算机上所安装HeadSetup或HeadSetup Pro都使用同样的凭证与密钥，再加上就算移除了这两个程序，它们的凭证依然会存在于Windows中的Trusted Root CA Certificate Store。
黑客窃取了凭证之后，即能假冒Secorvo的身份执行各种中间人攻击，例如发送伪造的软件更新，或者发送网络钓鱼邮件，或者是设计可窃取用户机密信息的网页。
Secorvo已在本月更新了上述两个软件以修补该编号为CVE-2018-17612的安全漏洞，微软也于Windows的可靠凭证列表（Certificate Trust List）上移除了这两个软件先前所使用的凭证。