パスワードを忘れた？ アカウント作成
Close
5616 story

Becky!の独自拡張機能に重大なセキュリティ欠陥 126

ストーリー by Oliver
墓穴 部門より

jbeef曰く、"Shadow Penguin SecuirtyのTechnical Forumに4月30日に書き込まれたコメントによると、 「Becky! Internet Mail」には、mailto: URLの処理に独自拡張した機能があり、「X-Becky-Attachment=ファイル名」で添付ファイルの自動指定ができ、 「X-Becky-Action=send」でメールの自動送信ができるのだという。つまり、 （mailto:へのリンクをBecky!で処理する設定にしている場合には、） 悪意あるWebサイトを訪れると、あるいは悪意あるHTMLメールを表示すると、ユーザの確認なしに、既知のパス名のローカルファイルを添付して指定のメールアドレスに自動送信してしまう。
回避策は、Windowsの「フォルダオプション」の「ファイルの種類」で、「URL:MailTo Protocol」を選び「詳細設定」ボタンを押し、「open」アクションを削除する。または、「インターネットオプション」の「プログラム」のタブの「電子メール」をBecky!以外にするなど。
製造元は「次期バージョンアップの際にこの独自拡張は削除される」と回答したとのことだが、削除するだけならすぐにリリースできるはずではなかろうか。開発中の次期バージョンを修正してリリースしようとすると、テストが不十分でリリースが遅れることもあるだろうが、直前のリリース済みバージョンから余計な機能を削除するだけならすぐにできるはずだ。ただし、発見者が何日前に報告したのかは不明。
一般に、開発者は、独自の機能拡張のアイデアを思いついたときは、それが標準に存在しない原因として、セキュリティ上の理由があるのではないかと疑ってみるべきだ。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Becky!の独自拡張機能に重大なセキュリティ欠陥 More

  • mailto: URLについては (スコア:2, 参考になる)

    by Gururi (14221) on 2003年05月03日 8時57分 (#308906) ホームページ 日記
    rfc2368 [nic.ad.jp]やrfc2368J : The mailto URL scheme [vector.co.jp]が参考になりますね。
    つって、実はOMEではまだちゃんと実装されてなかったりしますが(汗)＞rfc2368
    自動添付・自動送信は怖過ぎです。何考えてるんだか。

  • ダミーの選択肢が欲しいかも (スコア:2, すばらしい洞察)

    by Ryuzi Kambe (38) on 2003年05月03日 11時25分 (#308951) ホームページ 日記
    Bekcy ! なので Windows の話になりますが、

    デフォルトの Web ブラウザや電子メールアプリケーションに
    ダミーで設定できる trapper が欲しいかも。

    「標準のアプリケーション」呼び出されたときに、一度
    ダイアログが開いてどのように対処するか選ぶもの。

    拡張子の処理方法はこのように尋ねられるわけだから、
    各URLスキームについても処理の方法をOS側で選択
    出来るようにしてもよいと思うのだけど。
    --

    - Ryuzi Kambe -

    • Re:ダミーの選択肢が欲しいかも (スコア:2, 参考になる)

      by tsyk (10158) on 2003年05月03日 13時46分 (#309009) 日記
      こんなふうにVBScriptでmailtoハンドラに細工をして事前に危険を検出するとか。

      C:\>ftype mailto
      mailto="C:\PathToProgram\RimArts\B2\B2.exe" "%1"
      C:\>ftype mailto="C:\PathToProgram\mailto.vbs" "%1"
      mailto="C:\PathToProgram\mailto.vbs" "%1"

      C:\>type C:\PathToProgram\mailto.vbs
      ' mailto.vbs - mailto protocol trapper
      arg = Wscript.Arguments(0)
      str = "X-Becky-Action"
      Set objRE = New RegExp
      objRE.Pattern = str
      objRE.IgnoreCase = True
      If objRE.Test(arg) Then
          MsgBox("'" & str & "' found!")
      Else
          Set WshShell = WScript.CreateObject("WScript.Shell")
          WshShell.Run( "C:\PathToProgram\RimArts\B2\B2.exe " & arg )
      End If

      C:\>
      シェア
      親コメント
    • 　使用頻度が低いならば機能を殺してしまう方が良いかも。
      windowsって確認ダイアログが、ぽこぽこ出るので『うっかり』送信してしまう可能性があります[笑]。
      （スクリプトの実行可否の問い合わせとか、Active某のダウンロードの問い合わせとか...）

      　mailtoタグで送信するって、そんなに多用しますか？
      （私は問い合わせの１回目の送信でしか使わないです。
      　返信する場合はメールヘッダの返信先を使用するのが筋ですし...）
      # クリック１発でメール打てなきゃヤダって人は...

      ＞各URLスキームについても処理の方法をOS側で選択
      　これはＯＳではなく、そのhtmlを解釈/表示しているアプリ側の問題でしょう。
      　ディフォルトで使用するアプリが環境変数なりレジストリなりに設定してあるだけの話です。
      　このディフォルト値を使用するか否かはアプリ（ブラウザとかメーラの）側の問題です。

      # レジストリ情報を使わずにメーラを起動するブラウザも存在する事をお忘れなく...
      --
      notice : I ignore an anonymous contribution.
      シェア
      親コメント
      • > 使用頻度が低いならば機能を殺してしまう方が良いかも。
        > # レジストリ情報を使わずにメーラを起動するブラウザも存在する事をお忘れなく...

        …ってことは機能を殺す確実な方法は無いことになりますね。
        バイナリエディタでB2.EXE中の"X-Becky-Action="部分の文字列を潰してしまう方法は有効でした。
        （「送信前に必ず宛先を確認」オプションをONすれば防げるんだけど）

        ちなみに "X-Becky-Template=eml形式ファイル名" という第３番目の独自拡張も存在します。
        シェア
        親コメント

  • 差し引くことも付け足すことも (スコア:1, すばらしい洞察)

    by Anonymous Coward on 2003年05月03日 7時27分 (#308894)
    同じであると見抜けないと
    (アプリ開発は)難しい。

    …多分

  • うちの会社では (スコア:1)

    by take0m (4948) on 2003年05月03日 11時16分 (#308948) 日記
    Outlook2002 > Datula > Beckey2 > Outlook2000 > Outlook Express

    という順でセキュリティを評価しています。
    今日現在のセキュリティホールの状況と、開発体制を踏まえています。

    • Re:うちの会社では (スコア:0)

      by Anonymous Coward
      Datula って、開発、継続していますか？

      というか、不等号の定義が不明。安全度なのか危険度なのか。

      • Re:うちの会社では (スコア:0)

        by Anonymous Coward
        やっぱMeadow + Mew or Wanderlustでしょ、使い勝手がよくて安全なのは。
        まあ、アレゲな人でないと使いこなせないかもしれないけど…。

  • 運用回避 (スコア:1)

    by tma20 (3064) on 2003年05月03日 11時48分 (#308963)
    1. 不用意に mailto のリンクをクリックしない
    2. Becky! の設定で HTMLメールを自動的に開かないようにする。

    これで心配なら更に

    3. Windows の設定で mailto をクリックした時のアクションを削除する。
    （ちなみに Win98SE では デフォルト設定で outlook が起動する）

    ってとこでしょかね？
    1. はデフォだと今回の件に関係ないし
    2. は普通この設定にしてるでしょう？（してないかな　汗）
    3. の手順は次の通り (Win98SEの場合)
            a) スタート =>設定 ->フォルダオプション
            b) ファイルタイプのタブをクリック
            c) URL:MailTo プロトコル をクリック
            d) アクションに open があるので、それを削除
            ※ちなみに、再設定する場合は、前の情報を自分で控えておいてくださいね。
                私はメモらずに削除してしまいますた。

    • Re:運用回避 (スコア:2, 参考になる)

      by inu (4662) on 2003年05月03日 12時19分 (#308976) ホームページ 日記
      > 1. 不用意に mailto のリンクをクリックしない

      タレコミ本文中にある、Technical Forumの書き込みからいける確認ページのソースを見ていただけるとわかると思いますが、meta要素で「HTTP-EQUIV="Refresh"」を用いています。

      つまり、読み込んだ時点でアウトというわけです。
      シェア
      親コメント

    • 補足 (スコア:1)

      by tma20 (3064) on 2003年05月03日 13時28分 (#309001)
      「mailto で Becky! が起動する設定の人」は
      上のほうで報告されている「送信前に宛先を確認」をBecky!で設定するか
      Windows で 3. の設定をしておくように。

      ということでよろしいでしょうか。
      シェア
      親コメント

    • Re:運用回避 (スコア:0)

      by Anonymous Coward
      不用意に mailto のリンクをクリックしない
      それじゃだめ。普通のリンクをクリックした先が、＜img src="mailto:...... かもしれないので。

  • HTMLメールって使われてるんですか？ (スコア:1, 興味深い)

    by Anonymous Coward on 2003年05月03日 14時06分 (#309017)
    MUAではHTMLを使わないって設定が普通だと思ってました。
    最近はそうでもない？
    その辺の状況の資料ってご存知の方おられませんか？
    • 利用者に主婦層が多い某巨大ショッピングモールのメールマガジンは
      デフォルトがHTMLばりばりですが何か（カンベンしてくれ）

      ネットオークションやってますが、
      メールもらってHTMLだったのでそれとなく注意・・・というパターンもいい加減疲れました。

      インターネットはすでに、アレゲな人＝マイノリティなのです。ぐすん。
      シェア
      親コメント
    • PCの世界でシェア最大のOSに標準付属のメーラーがデフォルトでHTMLメールを作成する設定ですよね。
      そこから推測すれば、どういう現状かは容易に想像つくと思いますが。
      シェア
      親コメント

    • Re:HTMLメールって使われてるんですか？ (スコア:1, 興味深い)

      by Anonymous Coward on 2003年05月04日 0時32分 (#309249)
      某大手ITベンダでの話です。

      営業がOEでHTMLメールを使っていて、顧客から

      HTMLメールを送ってくるなんて、おたくのセキュリティ対策の
      姿勢には疑問符をつけざるを得ない

      と言われました。

      この顧客、アレゲでもないお役所の普通の情シスの人間です。
      ええ、/.-Jでもよく槍玉に上がる大手ITベンダです。
      昨年度の決算が赤字になった大手ITベンダです。

      ＃まあ、所詮こんなもんさ。
      ＃当然のごとくAC
      シェア
      親コメント
    • 他の人も書かれていますが、
      広告メール(SPAMに限らない)の分野では、
      他との差別化を図るためにHTMLメールが一般的になってきてるようです。
      (パーキンソンの法則のことは考えていないらしい)

      アメリカでは半分以上、韓国では100%がHTMLメールという調査 [atmarkit.co.jp]も
      あったとは思いますが、CODE REDとか鬼のような数のSPAMとか
      そういうことを考えると、普及するのもどうだか。
      シェア
      親コメント
  • 過去、 「MLサーバで使っているsendmailに穴がある。
    配送遅延も起きているから、最新のsendmail+smtpfeed or postfixにあげて下さい」
    とお願いしたら、
    「申し訳ないですが、サーバーのプロバイダ側が標準で提供しているMTA以外を導入して、トラブルが起こったときに対処できる自信がありませんので、ご勘弁ください。」
    という返答が帰って来て絶句したことがあります。
    先日のsendmailセキュリティホール*2の騒動があっても、当時と変わらないままなので、かの作者にセキュリティ意識を求めるのはあきらめています。
    Received: from ns.rimarts.com (localhost [127.0.0.1])
    by ns.rimarts.com (8.8.8/3.6Wbeta7)
    with ESMTP id KAA16201;
    Thu, 28 Dec 2000 10:58:26 +0900

    Received: from ns.rimarts.com (localhost [127.0.0.1])
    by ns.rimarts.com (8.8.8/3.6Wbeta7)
    with ESMTP id LAA24138;
    Sat, 3 May 2003 11:36:58 +0900
    --
    # rm -rf ./.
  • Ver2.05.10 -> Ver2.05.11

    ・Becky!独自のmailtoプロトコルの拡張により、悪意ある送信者によって、受信者の意図しないメールを送信することが可能になってしまうセキュリティホールを修正。

    現在オフィシャルサイトは非常に重いです。
  • なにゆえに、こんな拡張をしたのか、どなたかご存知ないですか？
    最新版のドキュメントにも記述がないようだし。

    なんか昔のiモード携帯にあった、＜/XPLAINTEXT＞みたいな感じなのかなぁ。

  • 次期バージョンアップといわず (スコア:0)

    by Anonymous Coward on 2003年05月03日 8時24分 (#308900)
    次期バージョンアップ時とは言わず、セキュリティアップデータとして供給すべきじゃないのかな。「その次期バージョンアップとやらを今すぐ出せ」というのでもまだ手ぬるいような気がする。

    パッケージソフトならともかく、シェアウェアだとこのへんは小回りがきいたすばやい対応が可能っぽいイメージがあるのになあ。

    • 対策版でましたよ (スコア:1)

      by chi (11062) on 2003年05月03日 18時27分 (#309105) 日記
      素早い対応とは言えませんが、そんなに遅くない対応かと。

      Ver2.05.10 -> Ver2.05.11

      ・Becky!独自のmailtoプロトコルの拡張により、悪意ある送信者によって、受信者の意図しないメールを送信することが可能になってしまうセキュリティホールを修正。
      シェア
      親コメント
    • ソースが一系統しかないんじゃないかな？

  • 送信前に宛先を確認 (スコア:0)

    by Anonymous Coward on 2003年05月03日 10時13分 (#308924)
    というオプションを設定しておけば、とりあえず回避可能かと…。
    • 一度に沢山のメールを送信する罠にはまったときも、大丈夫なのでしょうか。

      • Re:送信前に宛先を確認 (スコア:2, 参考になる)

        by tetsuya (11853) on 2003年05月03日 11時48分 (#308961) 日記

        手元の環境で再現確認（とあるファイルを添付して、自動送信）しました。

        送信前に必ず宛先を確認にチェックを入れると、自動送信はされずにメール作成画面が開かれて止まることも確認。mailto: で沢山のメールを送付させる記述orそういうスクリプトが可能ならDoS攻撃になりますね。（可能かどうかは知りません）WIN9x系なら十数個の窓が開いたあたりで固まるでしょう。

        ただし、mailto: でメール作成画面が開くという事が攻撃になりうるなら他のメーラでも同じ攻撃が成り立ちますね。

        シェア
        親コメント

  • もう使わない (スコア:0, 余計なもの)

    by Anonymous Coward on 2003年05月03日 11時02分 (#308939)
    Outlook同様、社内では使用禁止MUAにします。

    • Re:もう使わない (スコア:0)

      by Anonymous Coward
      このソフトはフィルタリングで既読にする機能実装されないんで結局使わなくなったなぁ。
      なんだかんだでOEに戻ってしまったんだが、メールがたくさんあるフォルダだとBeckyはかなり遅い。
typodupeerror

人生unstable -- あるハッカー