Zerologon
Una falla crittografica in Netlogon che permetteva a chiunque avesse accesso di rete a un domain controller di prendere il controllo dell'intero dominio in circa tre secondi. CVE-2020-1472, punteggio 10 su 10.
Tom Tervoort di Secura scoprì che la variante di AES in modalità CFB8 usata da Microsoft impiegava un vettore di inizializzazione composto interamente da zeri. In questa combinazione circa una chiave su 256 produce un testo cifrato anch'esso composto da zeri: un aggressore che ripete lo stesso tentativo di accesso a zeri ne trova uno valido in poche centinaia di prove, senza conoscere alcuna password. Da lì si può impostare vuota la password dell'account macchina del domain controller ed estrarre l'intera directory. La correzione uscì nell'agosto 2020 in due fasi, con la modalità di applicazione obbligatoria rinviata a febbraio 2021 perché un irrigidimento immediato avrebbe messo fuori uso i client più vecchi.