🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
CSS в письме научился воровать данные из почтовых ящиков
Специалист PortSwigger Гарет Хейс показал в серии тестовых атак, что разрешённые HTML и CSS можно использовать для перехвата действий, утечки токенов и даже кражи паролей в популярных почтовых сервисах.
Проблема возникает, когда фильтр почтового сервиса и браузер по-разному разбирают стили. Код, который фильтр считает безопасным, после обработки браузером может превратиться в другой набор правил и выйти за пределы письма.
💜Самая опасная демонстрация затронула Outlook. Вредоносное письмо могло занять весь экран и подменить интерфейс страницей входа. Затем CSS превращал элемент выбора в поле пароля и фиксировал нажатия клавиш.
💜Другие тесты показали, что CSS способен влиять и на действия пользователя внутри почтового сервиса. В Fastmail техника CSS Hotwiring перекрывала страницу невидимым элементом и перенаправляла обычный клик на другую команду интерфейса.
💜Отдельный сценарий связал письмо с ИИ-браузером Atlas. Хейс спрятал в сообщении инструкции, которые не видел пользователь, но считывала языковая модель. После команды на перевод Atlas в тесте начинал открывать вкладки и передавал имя со страницы на удалённый сервер.
PortSwigger рекомендует изолировать содержимое писем в sandboxed iframe, запрещать опасные CSS-селекторы и элементы select, блокировать внешние запросы изображений и data: URL, а также проверять интерфейс на CSS-гаджеты.
Источник: SecurityLab
#новости_ИБ
🏠Max | Telegram