Microsoft Outlook est l'une des plates-formes de messagerie les plus populaires au monde. Je compte personnellement sur mon adresse électronique Outlook pour les tâches professionnelles et personnelles.

Malheureusement, Outlook peut ne pas être aussi sécurisé que nous le souhaiterions les utilisateurs. Selon un rapport publié par le Carnegie Mellon Software Engineering Institute, Outlook est livré avec un problème de sécurité qui pourrait provoquer des fuites de hachage du mot de passe lorsque les utilisateurs visionnent un e-mail au format RTF contenant des objets OLE hébergés à distance.

Surveillez votre mot de passe Outlook

Cette faille de sécurité existe parce que le géant Redmond n'utilise pas de vérification de contenu stricte ni de restrictions lors du chargement d'éléments à partir d'un serveur SMB distant. D'autre part, la même vulnérabilité ne peut pas être exploitée lors de l'accès à un contenu hébergé sur le Web, car Microsoft applique des restrictions beaucoup plus strictes pour ce type de contenu.

Outlook ne charge pas les images hébergées sur le Web dans les courriers électroniques afin de protéger les adresses IP des utilisateurs. Toutefois, lorsque les utilisateurs accèdent aux messages électroniques RTF contenant des objets OLE chargés à partir d'un serveur SMB distant, Outlook charge les images respectives.

Cela entraîne une série de fuites incluant l'adresse IP, le nom de domaine, etc., comme l'expliquent les rapports:

Outlook bloque le contenu Web distant en raison du risque que les bogues Web posent pour la confidentialité. Mais avec un e-mail en texte enrichi, l'objet OLE est chargé sans aucune interaction de l'utilisateur. Nous pouvons voir ici qu'une connexion SMB est en cours de négociation automatique. La seule action qui déclenche cette négociation est Outlook qui prévisualise un courrier électronique qui lui est envoyé. Je constate que les éléments suivants ont été divulgués: adresse IP, nom de domaine, nom d'utilisateur, nom d'hôte, clé de session SMB. Un objet OLE distant dans un e-mail en texte enrichi fonctionne comme un bogue Web sur les stéroïdes!