Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Le client de messagerie de Windows Phone 7 ne vérifie pas le champ
Common Name du certificat X.509 présenté par le serveur, ce qui
permet à un attaquant de se placer en man-in-the-middle sans être
détecté.

Produits concernés : Windows Phone

Gravité : 2/4

Date création : 18/09/2012

DESCRIPTION DE LA VULNÉRABILITÉ

Le système Windows Phone 7 comporte un client de messagerie pour
se connecter sur les serveurs POP3, IMAP ou SMTP.

Les sessions peuvent être chiffrées par SSL/TLS. Dans ce cas, le
serveur présente un certificat X.509. Le champ Common Name doit
correspondre au nom du serveur.

Cependant, si certificat est valide, mais que le champ Common Name
correspond à un autre site, Windows Phone 7 l’accepte tout de même.

Le client de messagerie de Windows Phone 7 ne vérifie donc pas le
champ Common Name du certificat X.509 présenté par le serveur, ce
qui permet à un attaquant de se placer en man-in-the-middle sans
être détecté.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/Windows-Phone-7-non-verification-du-Common-Name-11954