Lỗ hổng trong Microsoft Outlook: gửi email S/MIME mã hoá kèm một email dạng bản rõ

[WhiteHat News #ID:2017]

Người dùng được khuyến cáo cẩn trọng khi dùng giao thức S/MIME trên Microsoft Outlook để mã hóa email khi gửi.

Ít nhất trong 6 tháng qua, người dùng đã gửi đi các email dưới dạng được mã hoá và không được mã hóa, dẫn đến tất cả thông tin bí mật và nhạy cảm trong email có thể lọt vào tay kẻ xấu.

S/MIME, hay Secure/Multipurpose Internet Mail Extensions (các mở rộng thư Internet đa mục đích/an toàn), là một giao thức mã hóa end-to-end dựa trên công nghệ mật mã khóa công khai và có cách thức hoạt động tương tự các kết nối SSL - cho phép người dùng gửi các tin nhắn đã được ký số và mã hoá.

Theo công bố của hãng SEC Consult vào đầu tuần, một lỗi nghiêm trọng (CVE-2017-11776) trong ứng dụng email client của Microsoft Outlook dẫn đến việc gửi các email mã hóa S/MIME đính kèm bản copy không được mã hóa.

Khi người dùng Outlook thông qua S/MIME để mã hóa thông tin và định dạng email, lỗ hổng này khiến email đã mã hóa được gửi đi dưới 2 dạng: đã được mã hóa và dạng bản rõ.

Người dùng sẽ không thể nhận thấy vấn đề này bởi vì email trông như đã được mã hóa hoàn toàn trong thư mục “Đã gửi” của Outlook.

“Hacker không cần làm gì mà vẫn có thể khai thác được lỗ hổng. Ảnh hưởng của lỗ hổng này là có thể đọc email đã mã hóa S/MIME mà không cần khóa bí mật của người nhận. Điều này làm mất đi hoàn toàn tính bảo mật mà mã hóa S/MIME đem lại”, các chuyên gia cho biết thêm.

Do đó, hacker khi đã có quyền truy cập vào các kết nối máy chủ đến máy chủ hoặc máy khách tới máy chủ không được mã hóa có thể dễ dàng khai thác lỗ hổng để đọc email dạng plain text.

Vì vậy, nếu người dùng mã hóa S/MIME của Outlook khi gửi email trong 6 tháng qua, các email đó chưa hề được mã hóa; thay vào đó chúng ở dạng plain text.

Phạm vi ảnh hưởng của lỗ hổng phụ thuộc vào cách người dùng cấu hình Outlook.

1. Outlook với Exchange

Nếu bạn đang sử dụng Outlook với Exchange, việc gửi email để trao đổi với bên ngoài sẽ loại bỏ phiên bản plain text khỏi nội dung email.

Nhưng nếu người nhận và người gửi nằm trong cùng một domain (exchange), bản plain text của các email đó cũng sẽ được chuyển tiếp đến người nhận.

2. Outlook sử dụng SMTP

Nếu bạn đang dùng Outlook với SMTP, không chỉ người nhận mà tất cả các email server trên đường đi đều có nhận được phiên bản plain text.

Bản vá lỗi Outlook

Hãng SEC đã phát hiện được lỗ hổng từ tháng 5 và thông báo tới Microsoft, nhưng không nhận được phản hồi nào từ gã khổng lồ công nghệ.

Microsoft đã phát hành bản cập nhật để vá lỗi trong tháng 10, và phân loại lỗi là "quan trọng".

Vì vậy, người dùng được khuyến cáo nếu sử dụng S/MIME của Outlook để mã hóa các email nhạy cảm, phải cập nhật bản vá cho hệ thống cũng như phần mềm trong thời gian sớm nhất.

Theo Hackernews​