Microsoft parchea una grave vulnerabilidad de Windows 10 tras recibir el aviso de la NSA: así puedes actualizar

Microsoft acaba de liberar una actualización de seguridad con el fin de parchear un agujero de seguridad que afectaría a cientos de millones de PCs equipados con Windows 10 y Windows Server 2016/2019, y que estaría vinculada a un componente criptográfico que lleva décadas integrado en Windows, un archivo llamado crypt32.dll (parte fundamental de la Microsoft CryptoAPI) y usado por los desarrolladores para firmar digitalmente el software que crean con el fin de demostrar al sistema que éste no ha sido manipulado.

En resumidas cuentas, la recién descubierta vulnerabilidad permitiría a un potencial atacante presentar como legítimo software manipulado, facilitando así enormemente la ejecución de malware en el equipo. Según la compañía, en ese caso el usuario no tendría ningún modo de reconocer el archivo ejecutable como malicioso, pues a todos los efectos su firma digital parece estar respaldada por un proveedor de confianza.

NSA: De ocultar vulnerabilidades en provecho propio a avisar de su detección

Microsoft, que reconoce la importancia de esta vulnerabilidad (aunque no la califica como "crítica"), afirma que no existen evidencias de que ningún ciberdelincuente haya hecho uso de la misma hasta ahora. Lo sorprendente es que ha podido crear el parche gracias a un aviso procedente de la NSA, la Agencia Nacional de Seguridad estadounidense.

Y es sorprendente porque, en el pasado la NSA fue acusada de mantener en secreto un agujero de seguridad de Windows con el fin de contar con una puerta trasera que pudiera usar su exploit de vigilancia EternalBlue.

Por desgracia para la NSA y, sobre todo, para miles de usuarios, la existencia de dicha vulnerabilidad se filtró y fue usada por ciberdelincuentes para difundir el destructivo ransomware conocido como WannaCry, que afectó a varios gobiernos y obligó a Microsoft a lanzar, incluso, un parche para Windows XP (después de que finalizase su soporte oficial).

Ahora, según ha explicado a TechCrunch Anne Neuberger, directora de ciberseguridad de la NSA, su agencia evaluó los pros y los contras de mantener en secreto esta nueva vulnerabilidad, y decidió que lo más adecuado en este caso sería, al contrario de lo ocurrido hace 3 años, informar a Microsoft de su existencia para que pudiera tomar medidas. Según fuentes vinculadas a la NSA, ahora existe una nueva política de intentar beneficiar a empresas y usuarios gracias a los hallazgos de la NSA:

Sources say this disclosure from NSA is planned to be the first of many as part of a new initiative at NSA dubbed "Turn a New Leaf," aimed at making more of the agency's vulnerability research available to major software vendors and ultimately to the public.

— briankrebs (@briankrebs) January 14, 2020

Microsoft ha explicado que, ante el riesgo de que los sistemas del gobierno estadounidense y de ciertas empresas (como contratistas de sus fuerzas armadas o responsables de infraestructuras críticas) pudieran estar bajo ataque, éstos fueron los primeros en recibir el correspondiente parche. Las agencias federales estadounidenses ya han recibido órdenes de aplicarlo lo antes posible.

Pero ahora el parche ya está disponible para todos los usuarios del sistema operativo y, con el nombre de actualización 'CVE-2020-0601', podemos encontrarlo en la web de Seguridad de Windows, o bien instalarlo desde Windows Update, en el apartado 'Actualización y seguridad' de la Configuración de Windows.

Vía | The Verge & TechCrunch

Imagen | U.S. Air Force photo by Steve Kotecki