Microsoft Outlook to jedna z najpopularniejszych platform e-mail na świecie. Osobiście polegam na moim adresie e-mail programu Outlook do zadań związanych z pracą i osobistymi.

Niestety, Outlook może nie być tak bezpieczny, jak my, użytkownicy chcieliby myśleć. Według raportu opublikowanego przez Carnegie Mellon Software Engineering Institute, Outlook zawiera błąd bezpieczeństwa, który może powodować wycieki skrótu hasła, gdy użytkownicy wyświetlają podgląd wiadomości e-mail w formacie Rich Text zawierających zdalnie hostowane obiekty OLE.

Obserwuj swoje hasło do programu Outlook

Ta luka w zabezpieczeniach istnieje, ponieważ gigant z Redmond nie stosuje ścisłej weryfikacji treści i ograniczeń podczas ładowania elementów ze zdalnego serwera SMB. Z drugiej strony tej samej luki nie można wykorzystać podczas uzyskiwania dostępu do treści hostowanych w Internecie, ponieważ Microsoft stosuje znacznie surowsze ograniczenia w przypadku tego typu treści.

Program Outlook nie ładuje obrazów hostowanych w Internecie do wiadomości e-mail w celu ochrony adresów IP użytkowników. Jednak gdy użytkownicy uzyskują dostęp do wiadomości e-mail RTF zawierających obiekty OLE ładowane ze zdalnego serwera SMB, program Outlook ładuje odpowiednie obrazy.

Prowadzi to do serii wycieków, które obejmują adres IP, nazwę domeny i inne, jak wyjaśniają raporty:

Program Outlook blokuje zdalne treści internetowe ze względu na ryzyko naruszenia prywatności. Ale w przypadku wiadomości e-mail z tekstem sformatowanym obiekt OLE jest ładowany bez interakcji użytkownika. Widzimy tutaj, że połączenie SMB jest automatycznie negocjowane. Jedyną czynnością, która wyzwala tę negocjację, jest podgląd programu Outlook, który jest do niej wysyłany. Widzę, że wyciekają następujące rzeczy: adres IP, nazwa domeny, nazwa użytkownika, nazwa hosta, klucz sesji SMB. Odległy obiekt OLE w wiadomościach tekstowych w formacie RTF działa jak błąd sieciowy na sterydach!