Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Il cybercrime si evolve velocemente e l’IA diventa protagonista: le previsioni di Group-IB per il 2026
Kaspersky, le PMI italiane sono un bersaglio strutturale per il cybercrime
Il cybercrime si evolve e si adatta, integrando l’IA nel proprio arsenale: il report di ESET
L’IA al centro delle strategie di cybersecurity future: le previsioni di Crowdstrike
CERT-AGID 6–12 dicembre: cresce l’uso di Figma e Webflow nel phishing

Bug nell’app di posta Nine: credenziali Exchange a rischio

Ott 19, 2016 Marco Schiaffino News, Privacy, RSS, Vulnerabilità 0

L’app consente di accedere all’email tramite Exchange ActiveSync. Le credenziali però possono essere intercettate. Disponibile un aggiornamento.

Popolarissima tra gli utenti Android con 1 milione di download da Google Play, Nine – Outlook for Android è un’app per la posta elettronica in grado di sincronizzarsi tramite Microsoft Exchange ActiveSync.

Una caratteristica che la rende particolarmente utile per chi usa lo smartphone o il tablet in ambito lavorativo e che permette di avere sotto mano email, contatti, note e calendario.

Qualche tempo fa, però, il direttore di Rapid7 Labs Derek Abdine si è accorto che Nine aveva un piccolo difetto: non era in grado di validare i certificati digitali quando si collega a un server Microsoft Exchange.

Nell’immagine pubblicata da Abdine sono evidenziate le credenziali, codificate in base64, ottenute attraverso un attacco man in the middle.

Come spiega nel dettaglio sul blog di Rapid7 Labs, il risultato era che tutti gli utenti che utilizzavano Nine erano esposti al rischio di un attacco “man in the middle” che avrebbe permesso di sottrarre le credenziali di accesso.

Lo scenario tipico descritto da Abdine è quello di un utilizzatore di Nine che si trova in una rete Wi-Fi pubblica. Visto che l’app supporta la funzione di push, un eventuale pirata non dovrebbe fare altro che utilizzare una tecnica di DNS poisoning per intercettare i pacchetti destinati al server.

La vulnerabilità è stata scoperta in agosto, ma Rapid7 Lab l’ha resa pubblica solo adesso in accordo con lo sviluppatore, che ha messo a disposizione degli utenti Android la nuova versione 3.1.0 dell’app che gestisce in maniera corretta i certificati.

Condividi l'articolo