رفتن به محتوای اصلی
شنبه ۲۷ مرداد ۱۳۹۷
.

دسته بندی اخبار

دسته بندی عمومی

آسیب‌پذیری در سرویس‌دهندگان ایمیل OpenPGP و S/MIME

آسیب‌پذیری در سرویس‌دهندگان ایمیل OpenPGP و S/MIME

مرکز CERT/CC امریکا اطلاعاتی در مورد آسیب‌پذیری‌های سرویس‌دهنده‌های ایمیل ارائه کرده است که بر اساس این آسیب‌پذیری، نسخه‌های متنی ایمیل‌های رمزگذاری شده OpenPGP و S/MIME را می‌توان استخراج کرد. یک مهاجم با دسترسی از راه دور می‌تواند از این آسیب‌پذیری برای دسترسی به اطلاعات حساس استفاده کند.

سرویس‌دهندگان ایمیل که از استانداردهای OpenPGP یا S/MIME پشتیبانی می‌کنند، ممکن است نسبت به حملات CBC ‎/ CFB آسیب پذیر باشند. این آسیب‌پذیری به مهاجم اجازه می‌دهد که با تزریق اطلاعات در یک ایمیل رمزگذاری شده باعث استخراج اطلاعات در هنگام رمزگشایی ایمیل قربانی شود. به عنوان مثال، با تزریق یک تگ تصویر HTML در متن ایمیل، سرویس‌دهنده متن را به عنوان بخشی از یک درخواست HTTP ارسال می‌کند.

حملات CFB مربوط به OpenPGP با شناسه CVE-۲۰۱۷-۱۷۶۸۸ و حملات CBC مربوط به S/MIME با شناسه CVE-۲۰۱۷-۱۷۶۸۹ معرفی شده است.آسیب‌پذیری‌هایی که  باعث می‌شوند که یک حمله از راه دور متن ساده ایمیل‌های رمزنگاری شده را بدون دسترسی به کلیدهای رمزنگاری بازیابی کند.

در حال حاضر راه حلی برای برطرف کردن این آسیب‌پذیری‌ها از طرف CERT/CC ارائه نشده است، اما برای کاهش اثرات آن موارد زیر توصیه می‌شود:

•    ایمیل‌ها در خارج از سرویس‌دهنده رمزگشایی شوند: استفاده از یک برنامه جداگانه و خارج از سرویس‌دهنده ایمیل برای رمزگشایی ایمیل‌های دریافتی مانع از ایجاد کانال استخراج اطلاعات می‌شود.

•    مترجم HTML غیرفعال شود: جلوگیری از ترجمه HTML باعث جلوگیری از ایجاد کانال استخراج اطلاعات می‌شود.

•    مسدود کردن قابلیت بارگیری اطلاعات از طریق دسترسی از راه دور: جلوگیری از بارگیری اطلاعات از طریق دسترسی از راه دور و بدون اجازه نیز می‌تواند از ایجاد کانال استخراج اطلاعات جلوگیری کند.

لیست سرویس‌دهندگان ایمیل که تحت تاثیر این آسیب‌پذیری قرار دارند بصورت جدول زیر است:

 

۴۹