Hier sind die Details der kritischen Windows-Schwachstelle, die die NSA entdeckt hat

Wir berichteten gestern, dass es einen gab große Schwachstelle in Windows wodurch die kryptografische Grundlage des Betriebssystems untergraben wurde.

Heute hat Microsoft einen Patch für die Schwachstelle und auch Details zu dem Problem veröffentlicht.

Die „breite kryptografische Schwachstelle“ wurde von der US-amerikanischen National Security Agency (NSA) entdeckt, wie die NSA-Direktorin für Cybersicherheit, Anne Neuberger, bestätigte.

Microsoft bestätigt CVE-2020-0601 betrifft Windows CryptoAPI und sagt, dass „eine Spoofing-Schwachstelle in der Art und Weise existiert, wie Windows CryptoAPI (Crypt32.dll) Elliptic Curve Cryptography (ECC)-Zertifikate validiert“, die verwendet werden kann, um „eine böswillige ausführbare Datei zu signieren, wodurch es so aussieht, als stamme die Datei von einer vertrauenswürdigen Datei , legitime Quelle.“

Es würde auch in verschlüsselter Kommunikation wie HTTPS verwendet, wobei Microsoft sagt:

„Ein erfolgreicher Exploit könnte es dem Angreifer auch ermöglichen, Man-in-the-Middle-Angriffe durchzuführen und vertrauliche Informationen über Benutzerverbindungen zu der betroffenen Software zu entschlüsseln.“

Glücklicherweise betrifft die Schwachstelle nur die Betriebssystemversionen von Windows 10, Windows Server 2019 und Windows Server 2016 und wurde nicht in freier Wildbahn ausgenutzt.

Trotzdem waren die potenziellen Auswirkungen der Schwachstelle so schlimm, dass die NSA gezwungen war, sie Microsoft mitzuteilen, anstatt sie für ihre eigenen Zwecke zu verwenden.

Dies ist die erste Offenlegung, die Microsoft der NSA zugeschrieben hat, aber Neuberger sagt, dass dies eine Änderung in ihrer Einstellung zu Schwachstellen darstellt, da die Behörde nun nicht mehr versucht, sie zu horten. Die NSA hatte auch Infrastrukturunternehmen vor der Schwachstelle und dem bevorstehenden Patch gewarnt und plant, später heute eine eigene Sicherheitsempfehlung mit Informationen zur Risikominderung und zur Erkennung von Ausnutzungen zu veröffentlichen, und forderte die IT-Mitarbeiter auf, die Installation des heutigen Patch Tuesday zu beschleunigen Sicherheitsupdates.

Die Cybersecurity & Infrastructure Security Agency (DHS CISA) des US-Heimatschutzministeriums (Department of Homeland Security) wird heute ebenfalls eine Dringlichkeitsrichtlinie herausgeben, um den US-Privatsektor und Regierungsbehörden vor der Notwendigkeit zu warnen, die neuesten Fixes für Windows-Betriebssysteme zu installieren.

Weitere Informationen zur Stelle und den Ansprechpartner in unserem Hause finden Sie hier: ZDNet