Microsoft Outlook on yksi suosituimmista sähköpostiympäristöistä maailmassa. Luotan henkilökohtaisesti Outlook-sähköpostiosoitteeni työhön liittyviin ja henkilökohtaisiin tehtäviin.

Valitettavasti Outlook ei ehkä ole niin turvallinen kuin me käyttäjien mielestämme ajattelemme. Carnegie Mellon Software Engineering Institute -julkaisun mukaan Outlookin mukana tulee tietoturvavirhe, joka voi laukaista salasanan tiivistevuotoja, kun käyttäjät esikatselevat Rich Text Format -sähköpostiviestejä, jotka sisältävät kauko-ohjattuja OLE-objekteja.

Katso Outlook-salasanasi

Tämä suojausheikkous on olemassa, koska Redmond-jättiläinen ei käytä tiukkaa sisällön varmennusta ja rajoituksia, kun ladataan kohteita etä SMB-palvelimelta. Toisaalta samaa haavoittuvuutta ei voida hyödyntää pääsyä Web-isännöityyn sisältöön, koska Microsoft soveltaa paljon tiukempia rajoituksia käsitellessään tämän tyyppistä sisältöä.

Outlook ei lataa verkko-isännöitämiä kuvia sähköposteihin käyttäjien IP-osoitteiden suojaamiseksi. Kun käyttäjät kuitenkin käyttävät RTF-sähköpostiviestejä, jotka sisältävät etä-SMB-palvelimelta ladatut OLE-objektit, Outlook lataa vastaavat kuvat.

Tämä johtaa sarjaan vuotoja, joihin sisältyy IP-osoite, verkkotunnus ja muut, kuten raportit selittävät:

Outlook estää etäverkkosisällön verkkovirheiden tietosuojariskin vuoksi. Mutta rikastekstisähköpostilla OLE-objekti ladataan ilman käyttäjän vuorovaikutusta. Täällä voidaan nähdä, että SMB-yhteydestä neuvotellaan automaattisesti. Ainoa toimenpide, joka käynnistää tämän neuvottelun, on Outlook, joka esittelee sille lähetetyn sähköpostin. Näen seuraavien asioiden vuotamisen: IP-osoite, verkkotunnus, käyttäjänimi, isäntänimi, SMB-istunnon avain. Kauko-OLE-objekti rikastekstiviestissä toimii kuten verkkovirhe steroideissa!