MADRID, 14 (Portaltic/EP)
Project Zero, el equipo de analistas de ciberseguridad de Google, ha publicado una vulnerabilidad presente en la librería SymCrypt de Microsoft, que permite a un cibercriminal bloquear cualquier operación de cifrado para lanzar un ataque de denegación de servicio distribuido(DDoS) en Windows Server.
El analista de Project Zero Tavis Ormandy ha compartido en Twitter y en el apartado 'Bugs' de Chromium, la vulnerabilidad que afecta a SymCryp, una herramienta que se encarga de las tareas de cifrado simétrico y asimétrico de Windows.
Ormandy explica que ha sido capaz de construir un certificado digital X.509 con el que ha activado el fallo, que permite desencadenar un ataque Dos en cualquier servidor de Windows, que en algunos casos obliga a reiniciar la máquina.
Para ello, el certificado debe insertarse "en cualquier cosa que encripte", como un mensaje S/MIME -una extensión de seguridad criptográfica para el correo-, en certificados de firma de código o en conexiones con Schannel, de tal forma que lo bloqueará.
El analista ha informado del problema y ha procedido a su publicación después de que se cumplieran 91 días desde que informara a Microsoft. Es decir, un día después de que se cumpliera el plazo para que la tecnológica lo solucionara, cosa que no ha hecho, según Ormandy.
No obstante, Ormandy cree que este problema es de "baja gravedad", si bien apunta que permitiría "tirar abajo una flota entera de Windows con relativa facilidad".