La Agencia de Seguridad Nacional de Estados Unidos alertó sobre una grave falla en Windows 10

La Agencia de Seguridad Nacional de Estados Unidos detectó una grave falla de seguridad en el sistema Windows de Microsoft. La compañía agradeció a la entidad por advertir sobre la falla y ya lanzó un parche de seguridad para solucionar este problema. Según la compañía, esta vulnerabilidad no habría sido explotada por ningún ciberatacante hasta el momento. Para mantenerse protegido, es fundamental actualizar el sistema operativo.

El agujero de seguridad afecta a dispositivos con Windows 10 y Windows Server 2016/2019. Según se explicó, un agresor podría explotar la vulnerabilidad al imitar una certificación de firma de código para hacer aparecer que el archivo provenía de una fuente confiable. “El usuario no tendría manera de saber que el archivo era malicioso porque la firma digital aparentemente provendría de un proveedor confiable”, dijo la compañía.

Un agresor capaz de explotar la falla hubiera podido realizar “ataques de intermediario” y decodificar información confidencial en conexiones de usuarios a los programas afectados, dijo la empresa.

Priscilla Moriuchi, quien se retiró de la Agencia de Seguridad Nacional (NSA) en el 2017 tras dirigir su departamento de Asia Oriental y el Pacífico, calificó lo sucedido como ejemplo del “rol constructivo” que esa entidad puede desempeñar en afianzar la seguridad cibernética a nivel mundial. Moriuchi, hoy en día analista en la firma Recorded Future, estimó que es un reflejo de los cambios adoptados en el 2017 sobre maneras en que Estados Unidos decide si revelar una falla tecnológica o aprovecharla para sus propósitos de inteligencia.

En qué consiste la falla

La falla está relacionada a un componente criptográfico que está Windows. Se trata del archivo llamado crypt32.dll, que es parte de la Microsoft CryptoAPI y es utilizado por los desarrolladores para firmar digitalmente el software que desarrollan para que el sistema sepa que éste es genuino y no ha sido manipulado.

Esta vulnerabilidad permitiría a un atacante presentar un software manipulado como legítimo. Esto facilitaría el acceso a cualquier equipo para ejecutar malware ya que el sistema no reconocería que se trata de un sistema malicioso. La falla también podría permitir a un tercero realizar un ataque de “hombre en el medio” (man in the middle) y descifrar información confidencial sobre las conexiones de los usuarios con el software afectado.

Cómo actualizar

Algunas computadoras obtendrán automáticamente la actualización gratuita si tienen encendida esa opción. Otras podrán realizarlo manualmente. La actualización se llama CVE-2020-0601 y se puede obtener ingresando aquí. También se puede instalar desde Windows Update, en la sección Actualización y seguridad dentro del menú de Configuración de Windows.