Voici les détails de la vulnérabilité critique de Windows découverte par la NSA

Nous avons signalé hier qu'il y avait eu un vulnérabilité majeure dans Windows qui a sapé la base cryptographique du système d'exploitation.

Aujourd'hui, Microsoft a publié un correctif pour la vulnérabilité ainsi que des détails concernant le problème.

La « large vulnérabilité cryptographique » a été découverte par la National Security Agency (NSA) des États-Unis, comme l'a confirmé la directrice de la cybersécurité de la NSA, Anne Neuberger.

Microsoft a confirmé CVE-2020-0601 implique Windows CryptoAPI et dit "une vulnérabilité d'usurpation existe dans la façon dont Windows CryptoAPI (Crypt32.dll) valide les certificats de chiffrement à courbe elliptique (ECC)" qui peut être utilisé pour "signer un exécutable malveillant, faisant apparaître que le fichier provenait d'un fichier de confiance , source légitime.

Il serait également utilisé dans les communications cryptées telles que HTTPS, avec Microsoft disant :

"Un exploit réussi pourrait également permettre à l'attaquant de mener des attaques de type "man-in-the-middle" et de déchiffrer des informations confidentielles sur les connexions des utilisateurs au logiciel affecté."

Heureusement, la vulnérabilité n'affecte que les versions du système d'exploitation Windows 10, Windows Server 2019 et Windows Server 2016, et elle n'a pas été exploitée à l'état sauvage.

Malgré cela, l'impact potentiel de la vulnérabilité était si grave que la NSA a été forcée de la divulguer à Microsoft, au lieu de l'utiliser à ses propres fins.

Il s'agit de la première divulgation que Microsoft attribue à la NSA, mais Neuberger affirme que cela marque un changement dans leur attitude à l'égard des vulnérabilités, l'agence ne cherchant plus à les stocker. La NSA avait également averti les sociétés d'infrastructure de la vulnérabilité et de l'arrivée du correctif, et prévoit de publier son propre avis de sécurité, avec des informations d'atténuation et comment détecter l'exploitation, plus tard dans la journée, exhortant également le personnel informatique à accélérer l'installation du correctif d'aujourd'hui. mises à jour de sécurité.

La Cybersecurity & Infrastructure Security Agency (DHS CISA) du ministère de la Sécurité intérieure publiera également aujourd'hui une directive d'urgence pour alerter le secteur privé américain et les entités gouvernementales de la nécessité d'installer les derniers correctifs du système d'exploitation Windows.

Via ZDNet