Кибердом - кибербезопасность

CSS в письме научился воровать данные из почтовых ящиков Специалист PortSwigger Гарет Хейс показал в серии тестовых атак, что разрешённые HTML и CSS можно использовать для перехвата действий, утечки токенов и даже кражи паролей в популярных почтовых сервисах. Проблема возникает, когда фильтр почтового сервиса и браузер по-разному разбирают стили. Код, который фильтр считает безопасным, после обработки браузером может превратиться в другой набор правил и выйти за пределы письма. 💜Самая опасная демонстрация затронула Outlook. Вредоносное письмо могло занять весь экран и подменить интерфейс страницей входа. Затем CSS превращал элемент выбора в поле пароля и фиксировал нажатия клавиш. 💜Другие тесты показали, что CSS способен влиять и на действия пользователя внутри почтового сервиса. В Fastmail техника CSS Hotwiring перекрывала страницу невидимым элементом и перенаправляла обычный клик на другую команду интерфейса. 💜Отдельный сценарий связал письмо с ИИ-браузером Atlas. Хейс спрятал в сообщении инструкции, которые не видел пользователь, но считывала языковая модель. После команды на перевод Atlas в тесте начинал открывать вкладки и передавал имя со страницы на удалённый сервер. PortSwigger рекомендует изолировать содержимое писем в sandboxed iframe, запрещать опасные CSS-селекторы и элементы select, блокировать внешние запросы изображений и data: URL, а также проверять интерфейс на CSS-гаджеты. Источник: SecurityLab #новости_ИБ 🏠Max | Telegram