Εδώ είναι οι λεπτομέρειες της κρίσιμης ευπάθειας των Windows που ανακάλυψε η NSA

Αναφέραμε χθες ότι υπήρχε ένα σημαντική ευπάθεια στα Windows που υπονόμευσε την κρυπτογραφική βάση του ΛΣ.

Σήμερα η Microsoft κυκλοφόρησε μια ενημέρωση κώδικα για την ευπάθεια και επίσης λεπτομέρειες σχετικά με το ζήτημα.

Η «ευρεία κρυπτογραφική ευπάθεια» ανακαλύφθηκε από την Υπηρεσία Εθνικής Ασφάλειας των ΗΠΑ (NSA), όπως επιβεβαίωσε η Διευθύντρια Κυβερνοασφάλειας της NSA, Anne Neuberger.

Η Microsoft επιβεβαίωσε CVE-2020-0601 περιλαμβάνει το Windows CryptoAPI και λέει ότι "υπάρχει μια ευπάθεια πλαστογράφησης στον τρόπο με τον οποίο το Windows CryptoAPI (Crypt32.dll) επικυρώνει τα πιστοποιητικά κρυπτογραφίας ελλειπτικής καμπύλης (ECC)", τα οποία μπορούν να χρησιμοποιηθούν για να "υπογράψουν ένα κακόβουλο εκτελέσιμο αρχείο, κάνοντάς το να φαίνεται ότι το αρχείο προέρχεται από ένα αξιόπιστο , νόμιμη πηγή."

Θα χρησιμοποιηθεί επίσης σε κρυπτογραφημένη επικοινωνία όπως το HTTPS, με τη Microsoft να λέει:

«Ένα επιτυχημένο exploit θα μπορούσε επίσης να επιτρέψει στον εισβολέα να διεξάγει επιθέσεις man-in-the-middle και να αποκρυπτογραφήσει εμπιστευτικές πληροφορίες σχετικά με τις συνδέσεις των χρηστών στο λογισμικό που επηρεάζεται».

Ευτυχώς, η ευπάθεια επηρεάζει μόνο τις εκδόσεις Windows 10, Windows Server 2019 και Windows Server 2016 OS και δεν έχει γίνει εκμετάλλευσή της στην άγρια ​​φύση.

Παρόλα αυτά, ο πιθανός αντίκτυπος της ευπάθειας ήταν τόσο κακός που η NSA αναγκάστηκε να το αποκαλύψει στη Microsoft, αντί να το χρησιμοποιήσει για δικούς της σκοπούς.

Αυτή είναι η πρώτη αποκάλυψη που έχει πιστώσει η Microsoft στην NSA, αλλά ο Neuberger λέει ότι σηματοδοτεί μια αλλαγή στη στάση τους απέναντι στα τρωτά σημεία, με την υπηρεσία να μην θέλει πλέον να τα συσσωρεύσει. Η NSA είχε επίσης προειδοποιήσει τις εταιρείες υποδομής για την ευπάθεια και ότι η ενημερωμένη έκδοση κώδικα έρχεται, και σχεδιάζει να εκδώσει τη δική της συμβουλευτική για την ασφάλεια, με πληροφορίες μετριασμού και πώς να ανιχνεύει την εκμετάλλευση, αργότερα σήμερα, καλώντας επίσης το προσωπικό πληροφορικής να επισπεύσει την εγκατάσταση του σημερινού Patch Tuesday ενημερώσεις ασφαλείας.

Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομής του Υπουργείου Εσωτερικής Ασφάλειας (DHS CISA) θα εκδώσει επίσης σήμερα μια επείγουσα οδηγία για να ειδοποιήσει τον ιδιωτικό τομέα των ΗΠΑ και τις κυβερνητικές οντότητες σχετικά με την ανάγκη εγκατάστασης των πιο πρόσφατων επιδιορθώσεων του λειτουργικού συστήματος Windows.

Μέσω ZDNet