Le code de preuve de concept (Poc) a \u00e9t\u00e9 publi\u00e9 pour une faille de s\u00e9curit\u00e9 de haute gravit\u00e9 maintenant corrig\u00e9e dans Windows CryptoAPI que la National Security Agency (NSA) des \u00c9tats-Unis et le National Cyber \u200b\u200b\u200b\u200bSecurity Center (NCSC) du Royaume-Uni ont signal\u00e9 \u00e0 Microsoft l’ann\u00e9e derni\u00e8re .<\/p>\n
Suivi comme CVE-2022-34689<\/strong> (score CVSS\u00a0: 7,5), la vuln\u00e9rabilit\u00e9 d’usurpation d’identit\u00e9 a \u00e9t\u00e9 corrig\u00e9e par le g\u00e9ant de la technologie dans le cadre des mises \u00e0 jour du Patch Tuesday publi\u00e9es en ao\u00fbt 2022, mais n’a \u00e9t\u00e9 divulgu\u00e9e publiquement que deux mois plus tard, le 11 octobre 2022.<\/p>\n “Un attaquant pourrait manipuler un public existant certificat x.509<\/a> pour usurper leur identit\u00e9 et effectuer des actions telles que l’authentification ou la signature de code en tant que certificat cibl\u00e9 \u00bb, Microsoft m’a dit<\/a> dans un avis publi\u00e9 \u00e0 l’\u00e9poque.<\/p>\n Les CryptoAPI Windows<\/a> offre une interface permettant aux d\u00e9veloppeurs d’ajouter des services cryptographiques tels que le chiffrement\/d\u00e9chiffrement des donn\u00e9es et l’authentification \u00e0 l’aide de certificats num\u00e9riques \u00e0 leurs applications.<\/p>\n La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 Web Akamai, qui lib\u00e9r\u00e9<\/a> le PoC, m’a dit<\/a> CVE-2022-34689 est enracin\u00e9 dans le fait que le morceau de code vuln\u00e9rable con\u00e7u pour accepter un certificat x.509 a effectu\u00e9 une v\u00e9rification qui reposait uniquement sur l’empreinte MD5 du certificat.<\/p>\n MD5, un algorithme de r\u00e9sum\u00e9 de message utilis\u00e9 pour le hachage, est essentiellement cryptographiquement cass\u00e9 depuis d\u00e9cembre 2008 en raison du risque de attaques d’anniversaire<\/a>une m\u00e9thode cryptanalytique utilis\u00e9e pour trouver des collisions dans une fonction de hachage.<\/p>\n L’effet net de cette lacune est qu’elle ouvre la porte \u00e0 un mauvais acteur pour servir une version modifi\u00e9e d’un certificat l\u00e9gitime \u00e0 une application victime, puis cr\u00e9er un nouveau certificat dont le hachage MD5 entre en collision avec le certificat truqu\u00e9 et l’utiliser pour se faire passer pour l’entit\u00e9 d’origine.<\/p>\n En d’autres termes, la faille pourrait \u00eatre militaris\u00e9e par un intrus voyou pour mettre en sc\u00e8ne un mallory-in-the-middle (MitM<\/a>) attaquent et redirigent les utilisateurs s’appuyant sur une ancienne version de Google Chrome (version 48 et ant\u00e9rieure) vers un site Web arbitraire choisi par l’acteur simplement parce que la version sensible du navigateur Web fait confiance au certificat malveillant.<\/p>\n \u00ab Les certificats jouent un r\u00f4le majeur dans la v\u00e9rification d’identit\u00e9 en ligne, rendant cette vuln\u00e9rabilit\u00e9 lucrative pour les attaquants \u00bb, a d\u00e9clar\u00e9 Akamai.<\/p>\n Bien que la faille ait une port\u00e9e limit\u00e9e, la soci\u00e9t\u00e9 bas\u00e9e dans le Massachusetts a soulign\u00e9 “il y a encore beaucoup de code qui utilise cette API et pourrait \u00eatre expos\u00e9 \u00e0 cette vuln\u00e9rabilit\u00e9, justifiant un correctif m\u00eame pour les versions abandonn\u00e9es de Windows, comme Windows 7”.<\/p>\n <\/p>\n![\"Vuln\u00e9rabilit\u00e9](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/Des-chercheurs-publient-un-exploit-PoC-pour-Windows-CryptoAPI-Bug.gif\" "\\"Vuln\u00e9rabilit\u00e9")
<\/div>\n![\"Vuln\u00e9rabilit\u00e9](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1674749186_330_Des-chercheurs-publient-un-exploit-PoC-pour-Windows-CryptoAPI-Bug.png\" "\\"Vuln\u00e9rabilit\u00e9")
<\/div>\n