Se ha descubierto una vulnerabilidad en Windows Phone 7 a la hora de comprobar los certificados X.509 de servidores POP3/IMAP/SMTP a través de SSL. Según los datos proporcionados por un investigador que permanece anónimo, el sistema operativo no valida correctamente los campos CN (Common Name, Nombre/dominio de Entidad) al no verificar si coincide el dominio del servidor con lo reportado por el campo CN del certificado proporcionado.
Windows Phone 7 es el nuevo sistema operativo de Microsoft destinado a terminales móviles y evolución del anterior Windows Mobile 6 perteneciente a la familia Windows CE. Esta nueva versión supone un rediseño total del sistema operativo, tanto en interfaz como en servicios, enfocándose en una mayor sencillez de uso para el usuario.
El fallo en la implementación de SSL, al que se le ha asignado el código CVE-2012-2993, permitiría engañar al usuario. La víctima creería conectarse a su servidor de correo por SSL, pero podría estar haciéndolo realmente a un servidor de un tercero incluso si comprobase el certificado.
 |
| Ejemplo del campo CN y dominio de un servidor en un certificado X.509 |
A modo de ejemplo, la siguiente es una configuración normal de un servidor de correo en Apache mediante SSL, donde ServerName indica el nombre de dominio del servidor que será comprobado por el certificado:
Si este certificado es inválido (el campo CN del certificado no coincide con el contenido de ServerName) generaría errores.
Estas comprobaciones no son realizadas correctamente por Windows Phone, por lo que un atacante podría montar un servidor de correo SSL fraudulento y hacerse pasar por uno oficial. Si consigue redirigir el dominio (envenenando los DNS, por ejemplo, o a través de cualquier ataque MITM), podría averiguar el login o datos de sesión de la víctima y comprometer su correo a través de certificados arbitrarios, puesto que el terminal no realiza las comprobaciones necesarias.
Microsoft está trabajando en una actualización del sistema que será proporcionada a través de las actualizaciones automáticas OTA desde los servidores oficiales. Fue notificado el 19 de junio de este año, aunque se ha hecho público recientemente..
Más información:
Vulnerability Note VU#389795
José Mesa Orihuela
Deja una respuesta