NSA alertou Microsoft sobre falha grave no Windows

A correção disponibilizada em janeiro deve ser aplicada o quanto antes em estações e servidores.

A NSA (órgão de inteligência do governo americano) passou a assumir uma nova postura mais colaborativa com a indústria e notificou a Microsoft sobre uma falha grave na biblioteca de serviços criptográficos do Windows, a crypt32.dll. Esta vulnerabilidade (CVE-2020-0601) permite que um atacante crie um arquivo que pareça ter sido assinado digitalmente por uma entidade confiável ou então realizar ataques do tipo Man-in-the-Middle para interceptar tráfego encriptado.

A Microsoft disponibilizou a correção para a vulnerabilidade em 14 de janeiro de 2020, como parte do patch tuesday mensal. Vale lembrar que é a última vez que o Windows 7 e Windows Server 2008 receberão atualizações de segurança. Segundo informado, a falha afeta principalmente os sistemas Windows 10, Windows Server 2016 e 2019. Versões anteriores do Windows podem também ser afetadas mas aparentemente com menor gravidade.

Apesar da Microsoft ter classificado a CVE-2020-0601 como Importante e não Crítica, a própria NSA veio a público para alertar sobre a gravidade da vulnerabilidade e a recomendação é aplicar a correção o mais breve possível em todos os dispositivos Windows. A atualização exige que o equipamento seja reiniciado.