🔥 Манипуляции с CSS в HTML-письмах обходят предупреждения безопасности в Outlook
Новости
Обычно хакерские инъекции представляешь как что-то сложное и многоуровневое. Но бывают случаи куда более простые
164 открытий5К показов
Исследователи обнаружили метод обхода антивирусной защиты в Outlook, что повышает риск открытия пользователями вредоносных писем.
Уязвимость связана с функцией «First Contact Safety Tip», которая предупреждает получателей в Outlook при получении письма с неизвестного адреса.
Обход предупреждений безопасности
Аналитики Certitude, обнаружившие эту уязвимость, сообщили о своем открытии Microsoft, но компания пока не приняла мер по устранению проблемы.
Функция «First Contact Safety Tip» предназначена для оповещения пользователей Outlook при получении писем от новых контактов. Она выводит сообщение: «Вы не часто получаете письма от xyz@example.com. Узнайте, почему это важно».
Скрытие предупреждения
Главная особенность этой функции заключается в том, что предупреждение добавляется к основному тексту HTML-письма, что открывает возможность для манипуляций с использованием CSS, встроенного в письмо.
Certitude обнаружила, что можно скрыть это сообщение безопасности, изменив CSS, как показано ниже:
Подобные изменения делают предупреждение невидимым для получателя письма.
Certitude также нашла способ добавить HTML-код, который подделывает иконки, добавляемые Outlook к зашифрованным/подписанным письмам, чтобы они выглядели более безопасными.
Реакция Microsoft
Certitude отправила Microsoft доказательство концепции этих техник и подробный отчет через Microsoft Researcher Portal (MSRC). Однако, Microsoft ответила:
Мы определили, что ваше обнаружение действительно, но не соответствует нашим требованиям для немедленного обслуживания, учитывая, что это в основном применимо к фишинговым атакам. Тем не менее, мы отметили ваше обнаружение для будущего рассмотрения как возможность улучшить наши продукты.
На момент публикации Microsoft не дала дополнительных комментариев по поводу своего решения не устранять риск немедленно.
164 открытий5К показов
На платформе доступны новые инструменты, ускоряющие разработку, реализован чат в GigaCode, а пользоваться GitVerse теперь может малый и средний бизнес.
Запускаем новую рубрику на Tproger. В первом выпуске — Сергей Сова, разработчик, фронтендер и подкастер, делится своими мыслями о Serverless SSR, новостях CSS и мастхев книге.
Рассказываем про маст-хев знаний, которые нужны в фулстек-разработке. И показываем, где обучиться профессии.
Пройдите тест и узнайте, хорошо ли вы понимаете CSS Flexbox — инструмент для создания гибких и адаптивных сайтов.