Microsoft Outlook és una de les plataformes de correu electrònic més populars del món. Personalment confio en la meva adreça de correu electrònic d'Outlook per a tasques relacionades amb la feina i personal.

Malauradament, és possible que Outlook no sigui tan segur com ens agradaria pensar els usuaris. Segons un informe publicat per Carnegie Mellon Software Engineering Institute, Outlook arriba amb un error de seguretat que podria desencadenar filtracions de hash de contrasenya quan els usuaris visualitzen un correu electrònic en format de text enriquit que conté objectes OLE allotjats de forma remota.

Mireu la vostra contrasenya d'Outlook

Aquesta vulnerabilitat de seguretat existeix perquè el gegant de Redmond no utilitza restriccions i verificació de contingut estrictes per carregar articles des d’un servidor SMB remot. D'altra banda, no es pot explotar la mateixa vulnerabilitat quan s'accedeix al contingut allotjament web, ja que Microsoft aplica restriccions molt més estrictes quan es tracta d'aquest tipus de contingut.

Outlook no carrega les imatges allotjades al web en correus electrònics per protegir les adreces IP dels usuaris. Tanmateix, quan els usuaris accedeixen a missatges de correu electrònic RTF que contenen objectes OLE carregats des d’un servidor SMB remot, Outlook carrega les imatges respectives.

Això porta a una sèrie de filtracions que inclouen adreça IP, nom de domini i molt més, segons expliquen els informes:

Outlook bloqueja el contingut web remot a causa del risc de privadesa dels errors web. Però amb un correu electrònic de text ric, l’objecte OLE es carrega sense interacció d’usuaris. Aquí podem veure que s’està negociant automàticament una connexió SMB. L’única acció que desencadena aquesta negociació és la visualització prèvia d’Outlook d’un correu electrònic que s’hi envia. Puc veure que s'estan filtrant les següents coses: adreça IP, nom de domini, nom d'usuari, nom d'amfitrió, clau de sessió SMB. Un objecte OLE remot en missatges de correu electrònic de text ric utilitza com un error web en esteroides.