Nieuwe kwetsbaarheid maakt wijzigen van verzonden e-mails mogelijk

Een kwetsbaarheid in e-mailclients maakt het mogelijk URL’s en tekst in verzonden e-mailberichten na afloop te wijzigen. De kwetsbaarheid kan door cybercriminelen ondermeer worden gebruikt om e-mails met malafide URL’s langs beveiligingsfeatures van e-mailclients te leiden.

Hiervoor waarschuwt Francisco Ribeiro, een onderzoeker van het Britse beveiligingsbedrijf Mimecast. De kwetsbaarheid wordt Remotely Originated Post-delivery Email Manipulation Attacks Keeping Email Risky (ROPEMAKER) genoemd. ROPEMAKER maakt het mogelijk de CSS (Cascading Style Sheets) die e-mailclients gebruiken om de weergave van HTML-gebaseerde e-mails te bepalen op afstand te wijzigen. Hierdoor kan bijvoorbeeld een legitieme URL in een e-mailbericht worden vervangen door een malafide variant.

Kwetsbare e-mailclients

Ribeiro wijst erop dat de exploit niet werkt in browser-gebaseerde e-mail zoals Gmail, Outlook Web Access of iCloud. Wel zijn zowel de desktop als mobiele versie van Microsoft Outlook, de desktop en mobiele versies van Apple Mail en Mozilla Thunderbird kwetsbaar. De e-mailclient die Google op het Android platform aanbiedt lijkt op het eerste oog niet kwetsbaar, al kan Ribeiro niet garanderen dat deze e-mailclient op alle versies van Android bestand is tegen de aanval.

De kwetsbaarheid kan op twee manieren via remote CSS worden uitgebuit: via een ‘switch exploit’ en via een ‘matrix exploit’. Bij de switch exploit stuurt een aanvaller in de originele e-mail zowel een legitieme als malafide URL mee, en wijzigt vervolgens op afstand de CSS die door de e-mail wordt gebruikt om de weergave van de e-mail te bepalen. Door deze wijziging kan de legitieme URL door een malafide URL worden vervangen.

De switch exploit met behulp van ROPEMAKER (bron: Mimecast)

Matrix exploit

Bij de matrix exploit stuurt een aanvaller ASCII tekst mee met de e-mail en bepaalt vervolgens via remote CSS welke specifieke karakters uit de ASCII tekst worden getoond. Hiermee kan in principe op afstand iedere willekeurige tekst door een aanvaller wordt vertoond in een eerder verstuurde aanval. Ribeiro geeft aan dat op deze manier ook een URL in de e-mail kan worden geplaatst, zonder dat deze in de oorspronkelijk verstuurde e-mail aanwezig is. Dit maakt deze exploit volgens de onderzoeker voor e-mailclients moeilijk af te slaan.

De matrix exploit met behulp van ROPEMAKER (bron: Mimecast)

Meer informatie over ROPEMAKER is te vinden in een advisory (pdf) die Mimecast heeft gepubliceerd.

Meer over
Lees ook
Cyber Defence moet innovatie versnellen

Cyber Defence moet innovatie versnellen

Wat meer optimisme over onze weerbaarheid voor cyberaanvallen is goed voor Nederland, vindt Roel van Rijsewijk, directeur Cyber Defence bij Thales. Het is ook goed dat de Nationaal Coördinator Terrorismebestrijding en Veiligheid onlangs in het Cybersecuritybeeld Nederland 2019 opnieuw de noodklok luidde over de kwetsbaarheid van de Nederlandse...

'De Benelux loopt achter op het gebied van cybersecurity, India presteert het best'

'De Benelux loopt achter op het gebied van cybersecurity, India presteert het best'

Organisaties over de hele wereld lopen vast in hun voortgang op het gebied van cybersecurity en riskeren verlamming nu cybercriminelen steeds geavanceerder te werk gaan. Dit blijkt uit het rapport 2019 Risk:Value – ‘Destination standstill. Are you asleep at the wheel?’ van NTT Security, een gespecialiseerd beveiligingsbedrijf en expertisecentrum voor...

Cybersecurity vitale waterwerken niet waterdicht

Cybersecurity vitale waterwerken niet waterdicht

Tunnels, bruggen, sluizen en waterkeringen kunnen nog beter worden beveiligd tegen cyberaanvallen. Rijkswaterstaat heeft de afgelopen jaren veel werk verzet en noodzakelijke maatregelen in kaart gebracht om waterkeringen beter te beveiligen. Maar die veiligheidsmaatregelen zijn niet allemaal uitgevoerd. De Algemene Rekenkamer constateert dat de minister...