Vissa e-postklienter är sårbara för manipulationsattacker när de använder "mailto:"

Forskare från Ruhruniversitetet i Bochum, Tyskland, analyserade beteendet hos e-postklienter när de hanterade "mailto:"-länkar med utökade parametrar.

Där fem av de tjugo klienterna de correo electrónico de analyserade var sårbara för en substitutionsmanipulationsattack resurser med hjälp av parametern "attach".

sex kunder mejla mer påverkades av PGP- och S/MIME-nyckelersättningsattackenOch tre klienter var sårbara för attacken för att återställa innehållet i krypterade meddelanden.

Mailto: länkar används för att automatisera öppningen av en e-postklient för att skriva ett e-postmeddelande till mottagaren som anges i länken. Utöver adressen kan du som en del av länken ange ytterligare parametrar, såsom ämnesraden och mallen för typiskt innehåll.

Den föreslagna attacken manipulera parametern "attach" för att bifoga en fil till det genererade e-postmeddelandet.

Av de analyserade e-postklienterna nämns följande:

e-postklienter Thunderbird, GNOME Evolution (CVE-2020-11879) KDE KMail (CVE-2020-11880) IBM/HCL-anteckningar (CVE-2020-4089) och Pegasus Mail var sårbara för en trivial attack det där automatiskt bifogade alla angivna lokala filer via en länk som "mailto:?attach= path_to_file".

Filen bifogas utan föregående meddelande, därför kan användaren, utan särskild betoning, inte märka att han i posten kommer att skickas med bilagan.

Denna bugg kan utnyttjas på ett ganska enkelt sätt, eftersom för att få programspecifika filer behöver du inte göra mycket, mer än att bara ange sökvägen. Det kan till exempel användas för att skaffa kryptovalutaportföljer eller en databas eller något av intresse.

Förutom lokala filer bearbetar vissa e-postklienter länkar till nätverkslagring och sökvägar på IMAP-servern.

I synnerhet IBM Notes låter dig överföra en fil från en nätverkskatalog genom att bearbeta länkar som "attach=\\site.com\file", samt fånga upp NTLM-autentiseringsparametrar genom att skicka en länk till en SMB-server som kontrolleras av angriparen (förfrågan kommer att skickas med användarens aktuella autentiseringsparametrar).

I det särskilda fallet med Thunderbird hanterar framgångsrikt förfrågningar om att bifoga mappinnehåll på IMAP-servern.

Samtidigt dekrypteras meddelanden som extraheras från IMAP, krypterade med OpenPGP och S/MIME, automatiskt av e-postklienten innan de skickas.

Thunderbird-utvecklare meddelades om problemet i februari, och problemet har nu åtgärdats i Thunderbird 78 (Thunderbird-grenarna 52, 60 och 68 är fortfarande sårbara).

Tidigare versioner av Thunderbird var också sårbara för två andra attackalternativ för PGP och S/MIME föreslagna av forskarna.

 Även om Thunderbird tog bort mailto:? Bifoga, verkar fortfarande finnas i distributioner som använder xdg-email för att analysera mailto-URL:er. 

Specifikt Thunderbird, liksom OutLook, PostBox, eM Client, MailMate och R2Mail2 kunde utföra en omnyckelattack, orsakat av det faktum att e-postklienten automatiskt importerar och installerar nya certifikat som överförs i S/MIME-meddelanden, vilket gör att en angripare kan organisera utbyte av publika nycklar som redan lagrats av användaren.

Den andra attacken, som de utsätts för Thunderbird, PostBox och MailMate, manipulerar funktionerna i autosave-mekanismen av utkast till meddelanden och låter dig använda mailto-parametrarna för att initiera dekryptering av krypterade meddelanden eller lägg till en digital signatur till godtyckliga meddelanden, med efterföljande överföring av resultatet till angriparens IMAP-server.

I denna attack sänds den krypterade texten via parametern "body" och taggen "meta refresh" används för att initiera ett anrop till angriparens IMAP-server.

För automatisk bearbetning av mailto:-länkar utan användarintervention kan specialgjorda PDF-dokument användas: OpenAction i PDF låter dig automatiskt starta mailto-hanteraren när du öppnar ett dokument.

Slutligen om du är intresserad av att veta mer om det om ämnet kan du konsultera forskningsfilen I följande länk.