Ang Microsoft Outlook ay isa sa mga pinakatanyag na platform ng email sa buong mundo. Ako ay personal na umaasa sa aking email sa email ng email para sa mga nauugnay sa trabaho pati na rin ang mga personal na gawain.

Sa kasamaang palad, ang Outlook ay maaaring hindi ligtas tulad ng nais nating isipin ng mga gumagamit. Ayon sa isang ulat na inilathala ng Carnegie Mellon Software Engineering Institute, ang Outlook ay may isang bug ng seguridad na maaaring mag-trigger ng password sa hash leaks kapag ang mga gumagamit ay nag-preview ng isang Rich Text Format emails na naglalaman ng mga malalayong naka-host na mga bagay na OLE.

Panoorin ang iyong password sa Outlook

Ang kahinaan sa seguridad na ito ay umiiral dahil ang higanteng Redmond ay hindi gumagamit ng mahigpit na pag-verify ng nilalaman at mga paghihigpit kapag naglo-load ng mga item mula sa isang malayong server ng SMB. Sa kabilang banda, ang parehong kahinaan ay hindi maaaring mapagsamantala kapag ang pag-access sa nilalaman na naka-host sa web habang inilalapat ng Microsoft ang mas mahigpit na mga paghihigpit kapag nakikitungo sa ganitong uri ng nilalaman.

Hindi na-load ng Outlook ang mga imahe na naka-host sa web sa mga email upang maprotektahan ang mga IP address ng mga gumagamit. Gayunpaman, kapag na-access ng mga gumagamit ang mga mensahe ng email ng RTF na naglalaman ng mga OLE na bagay na na-load mula sa isang malayong server ng SMB, ina-load ng Outlook ang kani-kanilang mga imahe.

Ito ay humahantong sa isang serye ng mga leaks na kasama ang IP address, domain name, at higit pa tulad ng ipinaliwanag ng mga ulat:

Hinaharang ng Outlook ang malalayong nilalaman ng web dahil sa peligro ng privacy ng mga web bug. Ngunit sa isang rich email email, ang OLE object ay na-load na walang pakikipag-ugnayan ng gumagamit. Dito makikita natin kaysa sa isang koneksyon sa SMB na awtomatikong napagkasunduan. Ang tanging aksyon na nag-trigger sa negosasyong ito ay ang preview ng Outlook ang isang email na ipinadala dito. Nakikita ko na ang mga sumusunod na bagay ay naikalat: IP address, domain name, user name, host name, SMB session key. Ang isang malayarang bagay na OLE sa isang mayaman na mga text message ng email ay gumana tulad ng isang web bug sa mga steroid!