Windows 10, patch per il bug scoperto dalla NSA

Microsoft ha rilasciato la patch che risolve una grave vulnerabilità individuata nel componente crypto32.dll di Windows 10. L’aggiornamento non è solo importante ma anche storico, in quanto per la prima volta è stato sviluppato in seguito alla segnalazione della NSA.

In realtà non è la prima vulnerabilità segnalata dalla NSA, ma è la prima volta che l’agenzia ha accettato di essere indicata nella sezione Ringraziamenti del bollettino di sicurezza. Ciò è conseguenza della nuova iniziativa “Turn a New Leaf”, il cui obiettivo è rendere disponibili alle software house (e quindi al pubblico) i risultati delle ricerche sulla sicurezza effettuate dalla NSA. In passato le vulnerabilità scoperte in Windows sono state sfruttate da famosi malware, come EternalBlue, sviluppati dalla stessa agenzia.

La vulnerabilità (CVE-2020-0601) è dovuta al modo in cui il componente Windows CryptoAPI (crypto32.dll) valida i certificati ECC (Elliptic Curve Cryptography). Un malintenzionato potrebbe utilizzare un falso certificato per firmare un malware che verrebbe considerato un software legittimo. L’exploit potrebbe anche consentire l’esecuzione di attacchi man-in-the-middle e la decifrazione di informazioni confidenziali.

Questa e altre patch sono incluse nell’aggiornamento cumulativo KB4528760 per Windows 10 November 2019 Update (versione 1909) e May 2019 Update (versione 1903). Al termine dell’installazione le nuove build del sistema operativo saranno 18363.592 e 18362.592, rispettivamente. Le patch riguardano Windows App Platform e Frameworks, Windows Input e Composition, Windows Management, Windows Cryptography, Windows Storage e Filesystems, Microsoft Scripting Engine e Windows Server.

Microsoft ha infine rilasciato la build 19041.21 (20H1) per gli iscritti allo Slow Ring del programma Windows 10 Insider Preview. I componenti interessati sono Windows App Platform e Frameworks, Windows Input e Composition, Windows Graphics, Microsoft Scripting Engine, .NET Framework, Windows Cryptography, Windows Subsystem for Linux, Windows Peripherals, Windows Storage e Filesystems, e Windows Server.