La NSA hace pública una vulnerabilidad grave en Windows 10

La NSA ha comunicado a Microsoft la existencia de una grave vulnerabilidad en el módulo Crypt32.dll que afecta a las versiones Windows 10, Windows Server 2016 y Windows Server 2019.

Como viene siendo habitual en Microsoft de corregir vulnerabilidades los segundos martes de cada mes, en este primer martes de parches del enero, Microsoft ha solucionado 49 vulnerabilidades en varios de sus productos.

Lo especial de esta ocasión es que una de las actualizaciones ha sido reportada por la Agencia de Seguridad Nacional estadounidense (NSA). Vulnerabilidad que afecta a un componente criptográfico ampliamente usado en Windows 10, Windows Server 2016 y Windows Server 2019 .

Al contrario que EternalBlue, donde la agencia estadounidense se guardó en secreto el exploit durante años y más tarde fue publicado por el grupo Shadow Brokers, esta vez han decidido responsablemente reportar la vulnerabilidad a Microsoft.

La vulnerabilidad más crítica de todas, llamada NSACrypt, con identificador CVE-2020-0601, reside en el módulo Crypt32.dll, en el que se localizan funciones de criptografía y de certificados digitales utilizadas por la API de Windows para cifrar y descifrar datos.

La vulnerabilidad en concreto está presente en la forma en la que se manejan los certificados de curva elíptica, que son el estándar de la criptografía de clave pública usado en la mayoría de los certificados SSL/TLS.

Según un comunicado de la NSA, la agencia explica que esta vulnerabilidad podría permitir a un atacante la ejecución de código.

Además de esta vulnerabilidad en la API de crypto, Microsoft ha parcheado otras 48, 40 de las cuales clasificadas como importantes y 8 de ellas de severidad crítica.

Más Información:

Patch Critical Cryptographic Vulnerability in Microsoft Windows Clients and Servers
https://media.defense.gov/2020/Jan/14/2002234275/-1/-1/0/CSA-WINDOWS-10-CRYPT-LIB-20190114.PDF

Update Windows 10 Immediately to Patch a Flaw Discovered by the NSA
https://thehackernews.com/2020/01/warning-quickly-patch-new-critical.html

A la venta el arsenal del Equation Group
https://unaaldia.hispasec.com/2016/08/a-la-venta-el-arsenal-del-equation-group.html

The Shadow Group: No se vayan todavía, aun hay más
https://unaaldia.hispasec.com/2017/04/the-shadow-group-no-se-vayan-todavia-aun-hay-mas.html