Apple Insider melder at en populær e-postapplikasjon til macOS og iOS har en potensielt farlig sårbarhet som kan gi hackere mulighet til å stjele eposter.
Epostklienten det dreier seg om er Airmail 3, og det var sikkerhetsforskere hos Versprite som først rapporterte om saken.
URL-forespørsler
Sårbarheten skal i korte trekk ligge i hvordan Airmail prosesserer URL-forespørsler på.
Det forskerne fant ut var at appen kan misbrukes ved at en angriper simpelthen kan sende en «ondsinnet» epost til en Airmail 3-bruker med en lenke som inneholder en URL-forespørsel.
Denne forespørselen kan brukes til å utløse «send»-funksjonen i epostapplikasjonen, slik at appen sender epost fra brukeren til hackeren i det skjulte kun ved at brukeren trykker på lenken.
Eposten som sendes ut kan legge til andre elementer som vedlegg, for eksempel andre eposter som brukeren har mottatt tidligere og, det er mulig å spesifisere hvilke dokumenter som skal sendes. På denne måten kan angrepsmetoden brukes til å stjele både eposter og eventuelt andre filer og innhold som er tilgjengelig i Airmail-appen.
Overbevisende
Sikkerhetsforskerne peker på at Airmail 3 tillater HTML-innhold i eposter, som gjør det mulig for angripere å lage overbevisende eposter med ondsinnede lenker eller klikkbare bilder som tildekker URL-strengen. Det gjør det igjen mer sannsynlig at offeret klikker på lenken.
I et «proof of concept»-forsøk utført av Versprite klarte forskerne å gjemme URL-lenken bak en knapp som lignet på «utvid»-knappen i Airmail-appen som brukes til å utvide meldingene til å vise mer innhold.
Den gode nyheten er at en fiks allerede skal være på plass.
Sårbarheten står nevnt i beskrivelsen av den seneste oppdateringen av Airmail på appens hjemmeside, og tjenesten har bekreftet overfor The Verge at appen er oppdatert på Mac Store.
Flere tekniske detaljer kan du finne på Versprite-bloggen.
Les også: To svært alvorlige sårbarheter åpner for fjernangrep via Photoshop »
