Historique de la page

Les Technologies de l’information souhaitent informer les responsables informatiques qu’un avis de sécurité concernant une vulnérabilité critique affectant le service « Microsoft Cryptographic Application Programming Interface (CryptoAPI) » a été diffusé par Microsoft, lors de la publication des correctifs mensuels du mois de janvier 2020.

Cette vulnérabilité affecte le service « CryptoAPI » qui sert à valider les certificats « Elliptic Curve Cryptography (ECC) », c’est-à-dire les certificats basés sur la cryptographie à courbe elliptique.  Cette faille peut être exploitée par un attaquant en utilisant un certificat signature de code (« code signing ») usurpé et ainsi signer un fichier malicieux.  Ce dernier apparaît comme étant légitime aux yeux de l’utilisateur.

La vulnérabilité peut aussi permettre une attaque de type « homme du milieu » (« man-in-the-middle ») pouvant décrypter des informations confidentielles sur les connexions des utilisateurs.

Cette faille affecte les versions du système d’exploitation suivantes :

• Windows Server, version 1803 (Server Core Installation)
• Windows Server 2019
• Windows Server 2019 (Server Core installation)
• Windows Server, version 1903 (Server Core installation)
• Windows Server 2016
• Windows Server 2016 (Server Core installation)
• Windows Server, version 1909 (Server Core installation)

Des correctifs ont été publiés par Microsoft pour les systèmes d’exploitation vulnérables. Pour le téléchargement, veuillez consulter le lien ci-dessous :

•  https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601

Pour plus d’information concernant cette vulnérabilité critique, veuillez consulter les liens suivants :

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-0601
• https://kb.cert.org/vuls/id/849224/  
• https://cyber.dhs.gov/ed/20-02/
• https://nvd.nist.gov/vuln/detail/CVE-2020-0601
• https://media.defense.gov/2020/Jan/14/2002234275/-1/-1/0/CSA-WINDOWS-10-CRYPT-LIB-20190114.PDF
• https://packetstormsecurity.com/files/cve/CVE-2020-0601

Pour toutes questions d’ordre technique, veuillez communiquer avec l’équipe Sécurité des Technologies de l’information, par courriel à l’adresse « securite@umontreal.ca ». 

Les Technologies de l’information vous remercient de votre collaboration.