Ecco i dettagli della vulnerabilità critica di Windows scoperta dall'NSA
2 minuto. leggere
Edizione del
Condividi questo articolo
Migliora questa guida
Leggi la nostra pagina informativa per scoprire come puoi aiutare MSPoweruser a sostenere il team editoriale Per saperne di più
Abbiamo riferito ieri che c'era un grave vulnerabilità in Windows che ha minato le basi crittografiche del sistema operativo.
Oggi Microsoft ha rilasciato una patch per la vulnerabilità e anche i dettagli relativi al problema.
L'"ampia vulnerabilità crittografica" è stata scoperta dalla National Security Agency (NSA) degli Stati Uniti, come confermato dal Direttore della Cybersecurity della NSA Anne Neuberger.
Microsoft ha confermato CVE-2020-0601 coinvolge Windows CryptoAPI e afferma che "esiste una vulnerabilità di spoofing nel modo in cui Windows CryptoAPI (Crypt32.dll) convalida i certificati Elliptic Curve Cryptography (ECC)" che possono essere utilizzati per "firmare un eseguibile dannoso, facendo sembrare che il file provenga da un file attendibile , fonte legittima.”
Sarebbe anche utilizzato nelle comunicazioni crittografate come HTTPS, con Microsoft che afferma:
"Un exploit riuscito potrebbe anche consentire all'attaccante di condurre attacchi man-in-the-middle e decrittografare le informazioni riservate sulle connessioni degli utenti al software interessato".
Fortunatamente, la vulnerabilità riguarda solo le versioni del sistema operativo Windows 10, Windows Server 2019 e Windows Server 2016 e non è stata sfruttata in natura.
Nonostante ciò, il potenziale impatto della vulnerabilità è stato così grave che la NSA è stata costretta a rivelarlo a Microsoft, invece di utilizzarlo per i propri scopi.
Questa è la prima rivelazione che Microsoft ha accreditato alla NSA, ma Neuberger afferma che segna un cambiamento nel loro atteggiamento nei confronti delle vulnerabilità, con l'agenzia che ora non cerca più di accumularle. La NSA aveva anche avvertito le società di infrastrutture della vulnerabilità e che la patch stava arrivando, e prevede di rilasciare il proprio avviso di sicurezza, con informazioni sulla mitigazione e su come rilevare lo sfruttamento, più tardi oggi, esortando anche il personale IT ad accelerare l'installazione della patch di oggi. aggiornamenti di sicurezza.
Anche la Cybersecurity & Infrastructure Security Agency (DHS CISA) del Department of Homeland Security rilascerà una direttiva di emergenza per avvisare il settore privato statunitense e gli enti governativi della necessità di installare le ultime correzioni del sistema operativo Windows.
via ZDNet
