Zerologon
Une faille cryptographique dans Netlogon permettant à quiconque a un accès réseau à un contrôleur de domaine de prendre le contrôle de tout le domaine en environ trois secondes. CVE-2020-1472, noté 10 sur 10.
Tom Tervoort, chez Secura, a découvert que la variante maison de Microsoft d'AES en mode CFB8 était utilisée avec un vecteur d'initialisation composé uniquement de zéros. Avec cette combinaison, environ une clé sur 256 produit un texte chiffré lui aussi entièrement nul, ce qui signifie qu'un attaquant renvoyant sans cesse la même tentative de connexion remplie de zéros finit par tomber juste après quelques centaines d'essais — sans connaître le moindre mot de passe. Il devient alors possible de vider le mot de passe du compte machine du contrôleur de domaine et d'exfiltrer l'annuaire entier. Le correctif est sorti en août 2020 en deux temps, le mode obligatoire n'arrivant qu'en février 2021, car un durcissement immédiat aurait cassé les clients les plus anciens.