Patchez Windows 10, c’est la NSA qui le dit.
Pour la première fois, l’agence a accepté que Microsoft lui attribue la découverte d’une faille.
Ladite faille (CVE-2020-0601) touche aussi Windows Server 2016 et 2019.
Elle réside dans la CryptoAPI (Cryptographic Application Programming Interface).
Cette API permet d’utiliser les fonctions cryptographiques implémentées dans la bibliothèque CSP (Cryptographic Service Provider).
Parmi ces fonctions, il y a la vérification des signatures destinées à prouver l’authenticité de logiciels.
Problème : CryptoAPI n’applique pas les mesures de sécurité nécessaire pour valider certains certificats. En l’occurrence, ceux qui utilisent l’algorithme ECC (cryptographie sur les courbes elliptiques).
Le souci se pose uniquement sur les versions de Windows qui prennent en charge les clés ECC spécifiant des paramètres.
Exploiter la faille peut permettre de faire passer tout certificat comme légitime. Et l’utiliser, entre autres, pour signer des exécutables malveillants.
Sont également touchées les applications qui utilisent la fonction CertGetCertificateChain() de Windows pour remonter les chaînes de certificats.
https://twitter.com/briankrebs/status/1217189733161455616?ref_src=twsrc%5Etfw » rel= »nofollow
Aux organisations qui ne pourraient patcher tous leurs systèmes, la NSA recommande de prioriser :
La présente démarche, affirme l’agence, s’inscrire dans le cadre d’une initiative « Turn a New Leaf » (« Tourner une nouvelle page »). Elle promet d’accentuer, dans ce cadre, sa communication avec les éditeurs de logiciels.
En toile de fond, l’exploit EternalBlue, que la NSA avait gardé au chaud… jusqu’à ce qu’il filtre et ouvre la voie à WannaCry.
Photo d’illustration © isak55 – Shutterstock.com
OpenAI orchestre un déploiement très progressif de GPT-4o, y compris de ses capacités multimodales.
Elon Musk avait racheté le nom de domaine X.com à PayPal en 2017. Depuis juillet 2023,…
Des centaines d'ingénieurs en IA et cloud travaillant pour Microsoft se voient proposer de quitter…
Reddit s'ajoute à la liste des « partenaires data » d'OpenAI. Qui rejoint-il ?
Younited a utilisé PaLM 2 puis Gemini pour catégoriser des transactions bancaires en vue de…
Les États-Unis vont tripler leur capacité nationale de fabrication de puces et contrôler 30 %…