BADECPARAMS

Preuve de concept pour CVE-2020-0601.

badecparams.py génère une autorité de certification intermédiaire qui exploite la vulnérabilité, puis émet des certificats Authenticode et TLS. Les certificats TLS ont une validation étendue dans Microsoft Edge et Internet Explorer.

httpd.py sert le contenu du sous-dossier www via HTTPS, en utilisant la chaîne de certificats encodée en PEM fournie en ligne de commande.

./badecparams.py
./httpd.py localhost.key

Logiciels vulnérables

Windows Update n'est pas vulnérable car il utilise l'épinglage de clé publique et des clés RSA.

Les dernières définitions antivirus de Windows Defender détectent les exécutables signés avec des certificats Authenticode malveillants, même sur les machines sans le correctif de Microsoft.

Microsoft Edge, Internet Explorer et Chromium (et ses dérivés) sont vulnérables à la variante TLS. Firefox n'est pas vulnérable car les Network Security Services (NSS) de Mozilla ne prennent pas en charge les paramètres EC explicites et utilisent leur propre implémentation pour la vérification des certificats.

Chrome 79.0.3945.130 corrige la vulnérabilité et génère NET::ERR_CERT_INVALID, même sur les machines sans le correctif de Microsoft.