Компания Microsoft выпустила для нескольких версий Windows патч, который закрывает уязвимость, обнаруженную Агентством национальной безопасности США. Баг имеет отношение к управлению сертификатами и шифровке данных.

АНБ обнаружило уязвимость недавно, посоветовала Microsoft как можно скорее устранить его и отправить патч организациям, обслуживающим ключевые инфраструктуры интернета (VPN-серверы, DNS-серверы, управление доменными именами и т. п.) Проблема затрагивает как сервера, так и клиентское оборудование.

По какой-то причине компания Microsoft не пометила этот баг как критический. Тем не менее, он позволяет атакующему подменять в ПО цифровой сертификат и внедрять на компьютеры вредоносный код под видом легитимных программ.

Патчи, закрывающие эту уязвимость, выпущены для Windows 10, Windows Server 2016 и Windows Server 2019. Другие версии Windows, в том числе 7 и 8.1, остались без обновления.

То, что АНБ сообщила об уязвимости Windows напрямую Microsoft, очень необычно. Агентство и ранее находила серьёзные баги, но молчало о них и даже создавало эксплойты для их эксплуатации, что приводило к большим проблемам. Например, созданная в АНБ утилита EternalBlue, нацеленная на протокол обмена файлами в Windows, использовалась хакерами для создания вируса-вымогателя WannaCry и его многочисленных клонов. Несколько лет назад эти вирусы атаковали компьютеры по всему миру и причинили экономике стран огромный ущерб.

По словам ИБ-специалиста Брайана Кребса, АНБ, наученное горьким опытом, сменило тактику и собирается оповещать о проблемах с безопасностью популярного софта как компании-разработчиков, так и пользователей.