Het gaat om een kwetsbaarheid in het WiFi-authenticatieprotocol PEAP-MS-CHAPv2 dat gebruikt wordt door Windows Phone in WPA2. Via een zelf opgezette WiFi-hotspot kan een aanvaller de een telefoon die automatisch contact maakt de versleutelde domeingegevens van de telefoon onderscheppen en vervolgens dat tegen het lek in de PEAP-MS-CHAPv2 gebruiken. Daarmee krijgt de aanvaller de domeingegevens actief in bezit en kan het die gebruiken om in te loggen op netwerken.

Onbekend of gat al wordt misbruikt

PEAP-MS-CHAPv2 staat voor Protected Extensible Authentication Protocol met Microsoft Challenge Handshake Authentication Protocol versie 2. Microsoft heeft nog geen daadwerkelijke aanvallen op het gat waargenomen. Het bedrijf zegt de situatie in de gaten te houden en klanten op de hoogte te houden.

Microsoft zegt dat gebruikers van Windows Phone altijd een geldig certificaat moeten opvragen bij een WiFi-punt voordat het authenticatieproces wordt opgestart, en te zorgen dat dat proces niet automatisch wordt opgestart.