I CSS sono noti soprattutto come il linguaggio utilizzato per controllare l’aspetto di siti web e documenti online. Ora i ricercatori di sicurezza richiamano l’attenzione su un rischio meno evidente: fogli di stile realizzati ad hoc potrebbero essere sfruttati per dedurre o estrarre informazioni visualizzate all’interno delle applicazioni webmail.
La preoccupazione riguarda il modo in cui browser e client di posta elaborano i CSS. In alcuni ambienti, un messaggio dannoso o una pagina web incorporata possono utilizzare regole di stile per generare richieste verso un server esterno quando sono presenti determinati elementi, caratteri o stati dell’interfaccia. Osservando queste richieste, un aggressore potrebbe riuscire a ricostruire dati limitati senza accedere direttamente alla casella di posta della vittima.
Queste tecniche dipendono generalmente da diverse condizioni, tra cui il comportamento di rendering dell’applicazione bersaglio, la disponibilità di contenuti ospitati esternamente e la possibilità di inserire o distribuire HTML appositamente progettato. Non equivalgono a una compromissione convenzionale del server, ma possono creare un canale laterale attraverso il quale informazioni vengono rivelate a soggetti esterni.
I ricercatori affermano che il problema merita attenzione perché i servizi webmail e i prodotti di sicurezza non gestiscono i CSS in modo uniforme. Alcune piattaforme limitano i contenuti attivi o fanno da proxy per le risorse remote, mentre altre potrebbero consentire più funzionalità del browser di quanto gli utenti si aspettino. Le differenze di implementazione possono influire sia sulla fattibilità di un attacco sia sulla quantità di informazioni recuperabili.
Perché il problema è importante
L’email viene spesso considerata un formato documentale piuttosto che un ambiente eseguibile. Tuttavia, i messaggi moderni possono contenere HTML, stili, immagini e altri contenuti elaborati da un motore simile a quello di un browser. Questa complessità può ampliare la superficie di attacco, soprattutto quando i messaggi vengono visualizzati in un’applicazione web completa.
Gli utenti dovrebbero mantenere aggiornati browser, client di posta e software di sicurezza, evitando di aprire messaggi o link sospetti. Le organizzazioni possono ridurre l’esposizione limitando i contenuti esterni, applicando solidi controlli di sicurezza dei contenuti e monitorando le richieste in uscita anomale. I fornitori, nel frattempo, potrebbero dover verificare in che modo i CSS vengono isolati e se il rendering dei messaggi può causare la fuoriuscita di dati sensibili dell’interfaccia o dei messaggi.