L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Microsoft Windows Phone

vulnérabilité 16460

Windows : certificat frauduleux émis pour Google

Synthèse de la vulnérabilité

Un attaquant, possédant le certificat illicite pour "google.com", peut se positionner en Man-in-the-middle sur un faux site Google, afin par exemple d'obtenir des informations sensibles.
Produits concernés : Windows 2003, Windows 2008 R0, Windows 2008 R2, Windows 2012, Windows 7, Windows 8, Windows Mobile, Windows RT, Windows Vista.
Gravité : 3/4.
Conséquences : lecture de données, création/modification de données.
Provenance : serveur internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 25/03/2015.
Références : 3050995, VIGILANCE-VUL-16460.

Description de la vulnérabilité

Le système Windows est installé avec des autorités de certification de confiance, comme "China Internet Network Information Center (CNNIC)".

Cependant, cette autorité a publié un certificat illicite pour "google.com", "gmail.com", "googleapis.com", etc.

Un attaquant, possédant le certificat illicite pour "google.com", peut donc se positionner en Man-in-the-middle sur un faux site Google, afin par exemple d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité informatique 16396

Windows : certificat frauduleux émis pour Live.fi

Synthèse de la vulnérabilité

Un attaquant, possédant le certificat pour "www.live.fi", peut se positionner en Man-in-the-middle sur un faux site Live, afin par exemple d'obtenir des informations sensibles.
Produits concernés : Windows 2003, Windows 2008 R0, Windows 2008 R2, Windows 2012, Windows 7, Windows 8, Windows Mobile, Windows RT, Windows Vista.
Gravité : 3/4.
Conséquences : lecture de données, création/modification de données.
Provenance : serveur internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 17/03/2015.
Références : 3046310, VIGILANCE-VUL-16396.

Description de la vulnérabilité

Le système Windows est installé avec des autorités de certification de confiance, comme "COMODO RSA Domain Validation Secure Serve CA".

Cependant, cette autorité a publié un certificat illicite pour "www.live.fi".

Un attaquant, possédant le certificat illicite pour "www.live.fi", peut donc se positionner en Man-in-the-middle sur un faux site Live, afin par exemple d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

avis de vulnérabilité informatique 13199

Windows Phone : obtention d'information via WiFi WPA2 PEAP-MS-CHAPv2

Synthèse de la vulnérabilité

Un attaquant peut créer un faux point d'accès WiFi avec WPA2 pour obtenir les données chiffrées, puis déchiffrer l'algorithme PEAP-MS-CHAPv2, afin d'obtenir le mot de passe de la victime, pour accéder à ses ressources.
Produits concernés : Windows Mobile.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, effacement de données.
Provenance : liaison radio.
Confiance : confirmé par l'éditeur (5/5).
Date création : 05/08/2013.
Références : 2876146, BID-61592, VIGILANCE-VUL-13199.

Description de la vulnérabilité

Lorsque Windows Phone se connecte sur un point d'accès Wi-Fi, il peut utiliser une authentification WPA2, avec le protocole PEAP-MS-CHAPv2 (Protected Extensible Authentication Protocol avec Microsoft Challenge Handshake Authentication Protocol version 2).

Cependant, une faiblesse cryptographique a été annoncée dans PEAP-MS-CHAPv2. Un attaquant peut alors retrouver le mot de passe.

Un attaquant peut donc créer un faux point d'accès WiFi avec WPA2 pour obtenir les données chiffrées, puis déchiffrer l'algorithme PEAP-MS-CHAPv2, afin d'obtenir le mot de passe de la victime, pour accéder à ses ressources.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité 12280

Windows, NSS : certificats frauduleux émis par TURKTRUST

Synthèse de la vulnérabilité

L'autorité de certification TURKTRUST, qui est reconnue dans Windows et NSS, a délivré des certificats à des attaquants, utilisés pour signer des sites web illicites.
Produits concernés : ProxySG par Blue Coat, SGOS par Blue Coat, Debian, Fedora, MBS, Mandriva Linux, Windows 2003, Windows 2008 R0, Windows 2008 R2, Windows 2012, Windows 7, Windows 8, Windows Mobile, Windows Vista, Windows XP, RHEL.
Gravité : 3/4.
Conséquences : lecture de données, création/modification de données.
Provenance : serveur internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 04/01/2013.
Références : 2798897, DSA-2599-1, FEDORA-2013-0231, FEDORA-2013-0261, FEDORA-2013-0271, MDVSA-2013:003, MDVSA-2013:050, RHSA-2013:0213-01, RHSA-2013:0214-01, SA73, VIGILANCE-VUL-12280.

Description de la vulnérabilité

Le système Windows est installé avec des autorités de certification de confiance, comme "TURKTRUST Inc.". Cette autorité est aussi présente dans NSS.

Cependant, cette autorité a publié des certificats incorrects (pas de CRL/OCSP, et "end-entity") pour deux autorités de certification :
  *.EGO.GOV.TR
  e-islem.kktcmerkezbankasi.org

Ensuite, le certificat de "*.EGO.GOV.TR" a été utilisé pour créer un certificat illicite pour "*.google.com".

Un attaquant, possédant ce certificat, peut alors se positionner en Man-in-the-middle sur un faux site Google, afin par exemple d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

avis de vulnérabilité CVE-2012-2993

Windows Phone 7 : non vérification du Common Name

Synthèse de la vulnérabilité

Le client de messagerie de Windows Phone 7 ne vérifie pas le champ Common Name du certificat X.509 présenté par le serveur, ce qui permet à un attaquant de se placer en man-in-the-middle sans être détecté.
Produits concernés : Windows Mobile.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données.
Provenance : serveur intranet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 18/09/2012.
Références : BID-55569, CVE-2012-2993, VIGILANCE-VUL-11954, VU#389795.

Description de la vulnérabilité

Le système Windows Phone 7 comporte un client de messagerie pour se connecter sur les serveurs POP3, IMAP ou SMTP.

Les sessions peuvent être chiffrées par SSL/TLS. Dans ce cas, le serveur présente un certificat X.509. Le champ Common Name doit correspondre au nom du serveur.

Cependant, si certificat est valide, mais que le champ Common Name correspond à un autre site, Windows Phone 7 l'accepte tout de même.

Le client de messagerie de Windows Phone 7 ne vérifie donc pas le champ Common Name du certificat X.509 présenté par le serveur, ce qui permet à un attaquant de se placer en man-in-the-middle sans être détecté.
Bulletin Vigil@nce complet.... (Essai gratuit)

bulletin de vulnérabilité 11253

Windows Phone : déni de service via SMS

Synthèse de la vulnérabilité

Produits concernés : Windows Mobile.
Gravité : 2/4.
Conséquences : déni de service du serveur.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 27/12/2011.
Références : BID-51179, VIGILANCE-VUL-11253.

Description de la vulnérabilité

Un attaquant peut envoyer un SMS, afin de redémarrer un téléphone Windows Phone 7.5.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité informatique 11147

SSL : révocation de DigiCert Malaysia

Synthèse de la vulnérabilité

L'autorité de certification intermédiaire DigiCert Malaysia a été révoquée.
Produits concernés : Debian, Fedora, MES, Mandriva Linux, Windows 2003, Windows 2008 R0, Windows 2008 R2, Windows 7, Windows Mobile, Windows Vista, Windows XP, Firefox, Thunderbird, openSUSE, SSL (protocole), RHEL, SUSE Linux Enterprise Desktop, SLES.
Gravité : 1/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données.
Provenance : serveur internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 10/11/2011.
Références : 2641690, CERTA-2003-AVI-008, DSA-2339-1, DSA-2341-1, DSA-2342-1, DSA-2343-1, FEDORA-2011-15586, MDVSA-2011:169, openSUSE-SU-2011:1241-1, RHSA-2011:1437-01, RHSA-2011:1440-01, RHSA-2011:1444-01, SUSE-SU-2011:1256-2, VIGILANCE-VUL-11147.

Description de la vulnérabilité

L'autorité de certification intermédiaire DigiCert Malaysia (Digicert Sdn Bhd) a été révoquée, suite à l'émission de 22 certificats avec des clés faibles, et à des erreurs techniques (VIGILANCE-ACTU-3168).

Il est donc recommandé de supprimer cette autorité de certification.

Cette autorité de certification est sous Entrust et Verizon (GTE CyberTrust). Il faut noter qu'elle est différente de DigiCert Inc (http://www.digicert.com/).
Bulletin Vigil@nce complet.... (Essai gratuit)

bulletin de vulnérabilité 10483

IE, Firefox, SeaMonkey, Opera : révocation de certificats

Synthèse de la vulnérabilité

Suite à une intrusion dans une autorité de certification, les navigateurs web révoquent certains certificats.
Produits concernés : ProxySG par Blue Coat, SGOS par Blue Coat, Debian, Fedora, MES, Mandriva Linux, IE, Windows 2003, Windows 2008 R0, Windows 2008 R2, Windows 7, Windows Mobile, Windows Vista, Windows XP, Firefox, SeaMonkey, openSUSE, Opera, RHEL, Slackware.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, accès/droits client, lecture de données, création/modification de données, effacement de données, sans conséquence.
Provenance : serveur internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 23/03/2011.
Date révision : 23/03/2011.
Références : 2524375, CERTA-2003-AVI-002, CERTA-2011-AVI-169, DSA-2199-1, DSA-2200-1, DSA-2203-1, FEDORA-2011-4244, FEDORA-2011-4250, FEDORA-2011-5152, FEDORA-2011-5161, MDVSA-2011:068, MDVSA-2011:072, MDVSA-2011:074, MFSA 2011-11, openSUSE-SU-403, RHSA-2011:0373-01, RHSA-2011:0375-01, RHSA-2011:0472-01, SA54, SSA:2011-086-01, SSA:2011-086-02, VIGILANCE-VUL-10483.

Description de la vulnérabilité

Une autorité de certification signe les certificats des sites web utilisant SSL (https). Les certificats de ces autorités sont installés par défaut dans les navigateurs web, afin d'assurer la chaîne de confiance.

Une intrusion s'est produite dans l'autorité de certification UserTrust, affiliée à Comodo.

Un attaquant a employé cette autorité pour signer 9 faux certificats pour des sites web (google.com, yaoo.com, mozilla.com, etc.). Il peut alors créer un faux site https://www.example.com/ et inviter la victime à s'y connecter, sans voir de message d'avertissement.

Plusieurs éditeurs de navigateurs web ont donc décidé de bloquer ces 9 certificats.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité 10061

Windows Mobile : corruption de mémoire via vCard

Synthèse de la vulnérabilité

Un attaquant peut inviter la victime à ouvrir une vCard illicite, afin de corrompre la mémoire de Windows Mobile, ce qui provoque un déni de service et éventuellement l'exécution de code.
Produits concernés : Windows Mobile.
Gravité : 2/4.
Conséquences : accès/droits utilisateur.
Provenance : document.
Confiance : source unique (2/5).
Date création : 21/10/2010.
Références : BID-44287, VIGILANCE-VUL-10061.

Description de la vulnérabilité

Les cartes de visites CVF au format vCard contiennent plusieurs champs :
 - champ N : nom
 - champ FN : nom complet (full)
 - champ TEL : téléphone
 - etc.
Elles peuvent être envoyées par MMS ou Bluetooth.

Lorsque Windows Mobile reçoit une vCard avec un nom N long, plusieurs allocations de mémoire sont effectuées. Cependant, les zones inutilisées sont libérées plusieurs fois. La mémoire se corrompt alors.

Un attaquant peut donc inviter la victime à ouvrir une vCard illicite, afin de corrompre la mémoire de Windows Mobile, ce qui provoque un déni de service et éventuellement l'exécution de code.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité informatique 9605

Windows Mobile : Cross Site Scripting via MMS

Synthèse de la vulnérabilité

Un attaquant peut envoyer un MMS HTML, utilisant un rafraîchissement, afin de provoquer un Cross Site Scripting.
Produits concernés : Windows Mobile.
Gravité : 2/4.
Conséquences : accès/droits utilisateur.
Provenance : document.
Confiance : source unique (2/5).
Date création : 23/04/2010.
Références : BID-39640, VIGILANCE-VUL-9605.

Description de la vulnérabilité

La directive "meta http-equiv=refresh" d'un document HTML permet de rediriger le visiteur vers une autre url.

La configuration "Show Message" des mobiles HTC Touch Pro 2 affiche directement le contenu des messages reçus. Cependant, si le message emploie un "meta http-equiv=refresh", son code script est exécuté dans le contexte du site web pointé.

Un attaquant peut donc envoyer un MMS HTML, utilisant un rafraîchissement, afin de provoquer un Cross Site Scripting.
Bulletin Vigil@nce complet.... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.