La National Security Agency (NSA) a averti Microsoft qu’une faille avait été détectée dans le système d’exploitation Windows 10 rapporte la presse américaine, l’éditeur a aussitôt mis en place un corrrectif. Jusqu’à présent la NSA exploitait de telles failles à son profit. Elle a ainsi créé et utilisé pendant plusieurs années Eternal Bue un outil de piratage exploitant une faille de Microsoft. « C’est un changement d’approche de la NSA que de travailler pour partager, aller de l’avant, vraiment partager les données afin d’établir la confiance », explique la directrice de la cybersécurité de la NSA, Anne Neuberger, dans le Washington Post.
La faille critique CVE-2020-0601 affecte la fonctionnalité cryptographique (crypt32.dll) de Windows 10 et de Windows Server (2016 à 2019), ainsi que les applications qui s’appuient sur ladite fonctionnalité. Elle permet aux cyberattaquants de créer des certificats qui usurpent des sites Web, des éditeurs de logiciels ou des fournisseurs de services de confiance afin d’opérer en toute tranquillité. Des logiciels malveillants pourraient ainsi être considérés comme sûrs. Les connexions HTPPS, les fichiers et les courriels signés ainsi que du code exécutable signé lancé en mode utilisateur pourraient être impactés.
La NSA s’attend à ce que la faille soit rapidement exploitée. « Cette vulnérabilité peut ne pas sembler conséquente, mais c’est un problème critique », écrit Neal Ziring, directeur technique en charge de la cybersécurité à l’agence. « Les mécanismes de confiance sont les fondements sur lesquels Internet fonctionne, et cette vulnérabilité permet à une cyberattaque sophistiquée de renverser ces fondements mêmes. »
La NSA recommande d’installer rapidement le correctif January 2020 Patch Tuesday sur tous les systèmes Windows 10 et Windows Server 2016 à 2019. S’il n’est pas possible d’appliquer des correctifs automatisés à l’échelle de l’entreprise, elle conseille d’accorder la priorité aux points de terminaison qui fournissent des services essentiels, exposés à Internet, utilisés par des utilisateurs privilégiés ou largement répandus (appliances web basées sur Windows, serveurs web, proxies qui se chargent de la validation TLS, serveurs DNS, Contrôleurs de domaines, serveurs de mise à jour, serveurs VPN…).