Vulnerabilidad en AFSecurityPolicy.validatesDomainName para AFSSLPinningModeNone en el framework Networking (CVE-2015-3996)

Gravedad CVSS v2.0:

MEDIA

Tipo:

CWE-254 Características de seguridad

Fecha de publicación:

27/10/2015

Última modificación:

12/04/2025

Descripción

La configuración por defecto de AFSecurityPolicy.validatesDomainName para AFSSLPinningModeNone en el framework Networking en versiones anteriores a 2.5.3, tal como se utiliza en ownCloud iOS Library, deshabilita la verificación de un hostname del servidor contra el nombre de dominio en el Common Name (CN) del sujeto del certificado X.509, lo que permite a atacantes man-in-the-middle suplantar servidores SSL a través de un certificado válido arbitrario.

Impacto

Vector 2.0

AV:N/AC:M/Au:N/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: AV:N/AC:M/Au:N/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno