Le CSS est surtout connu comme le langage utilisé pour contrôler l’apparence des sites web et des documents en ligne. Des chercheurs en sécurité attirent désormais l’attention sur un risque moins évident : des feuilles de style soigneusement conçues pourraient être utilisées à mauvais escient pour déduire ou extraire des informations affichées dans les applications de messagerie web.
Le problème concerne la manière dont les navigateurs et les clients de messagerie traitent le CSS. Dans certains environnements, un message malveillant ou une page web intégrée peut utiliser des règles de style pour déclencher des requêtes vers un serveur externe lorsque certains éléments, caractères ou états de l’interface sont présents. En observant ces requêtes, un attaquant pourrait être en mesure de reconstituer des données limitées sans accéder directement à la boîte aux lettres de la victime.
De telles techniques dépendent généralement de plusieurs conditions, notamment du comportement de rendu de l’application ciblée, de la disponibilité de contenus hébergés à distance et de la possibilité d’insérer ou de transmettre du code HTML spécialement conçu. Elles ne sont pas équivalentes à une compromission classique de serveur, mais peuvent créer un canal auxiliaire par lequel des informations sont révélées à un tiers.
Selon les chercheurs, le problème mérite l’attention, car les services de messagerie web et les produits de sécurité ne traitent pas tous le CSS de manière cohérente. Certaines plateformes restreignent le contenu actif ou servent de proxy pour les ressources distantes, tandis que d’autres peuvent autoriser davantage de fonctionnalités du navigateur que les utilisateurs ne le pensent. Les différences d’implémentation peuvent influer à la fois sur la faisabilité d’une attaque et sur la quantité d’informations pouvant être récupérées.
Pourquoi ce problème est important
Les e-mails sont souvent considérés comme de simples documents plutôt que comme des environnements exécutables. Pourtant, les messages modernes peuvent contenir du HTML, des styles, des images et d’autres contenus traités par un moteur semblable à celui d’un navigateur. Cette complexité peut élargir la surface d’attaque, en particulier lorsque les messages sont consultés dans une application web complète.
Les utilisateurs doivent maintenir leurs navigateurs, clients de messagerie et logiciels de sécurité à jour, et éviter d’ouvrir des messages ou des liens suspects. Les organisations peuvent réduire leur exposition en limitant les contenus externes, en appliquant des contrôles stricts de sécurité du contenu et en surveillant les requêtes sortantes inhabituelles. Les éditeurs devront, quant à eux, peut-être examiner la manière dont le CSS est isolé et déterminer si le rendu des messages peut divulguer des données sensibles liées à l’interface ou aux messages.