Microsoft a publié une mise à jour de Windows 10 qui corrige une faille critique repérée par la NSA.
Peu de choses sont plus terrifiantes que de recevoir un avertissement de la National Security Agency (NSA), et c’est exactement ce qui est arrivé à Microsoft hier. L’organisation du renseignement a découvert une grave faille dans Windows, et au lieu d’exploiter ces connaissances pour atteindre leurs propres objectifs, les programmeurs de la NSA l’ont révélée directement à Microsoft.
Selon le site d’actualités de sécurité KrebsonSecurity, la faille en question réside dans crypt32.dll, un module Windows qui gère « les fonctions de messagerie de certificat et de cryptographie dans CryptoAPI ».
Krebs dit que CryptoAPI permet aux développeurs de « sécuriser les applications Windows en utilisant la cryptographie », entre autres. S’il est compromis, crypt32.dll pourrait permettre à des personnes malveillantes d’usurper des signatures numériques sur des logiciels malveillants, faisant paraître les virus légitimes tout en cachant des surprises bien plus méchantes à l’intérieur.
Le site indique également qu’une vulnérabilité dans ce composant peut avoir un impact négatif sur la sécurité de diverses fonctionnalités de Windows 10, y compris (mais sans s’y limiter) « l’authentification sur les postes de travail et serveurs Windows », et la protection des données sensibles envoyées sur le Web via Microsoft Edge et Internet Explorer.
https://twitter.com/wdormann/status/1216763957446422528
Bien que Krebs spécule que « toutes les versions de Windows » sont susceptibles d’avoir été affectées par cette vulnérabilité (crypt32.dll est utilisé depuis les premiers jours de Windows), la NSA n’a jusqu’à présent confirmé que Windows 10 et Windows Server 2016 sont impactés.
Quoi qu’il en soit, Microsoft a classé la faille comme catégorie 1, ce qui est la deuxième pire classification que vous puissiez espérer en tant qu’utilisateur. Des correctifs pour la faille grave ont déjà été déployés sur les systèmes affectés (que vous soyez un client d’entreprise ou un utilisateur normal), alors assurez-vous de vérifier Windows Update pour les derniers correctifs de sécurité.
