Tuta 从外部资源加载图像 (CVE-2024-23330)
CVE编号
CVE-2024-23330利用情况
暂无补丁情况
N/A披露时间
2024-01-24漏洞描述
在119.10版本之前，攻击者可以在HTML邮件中附加一个从外部资源加载的图像，而默认设置应该禁止加载外部资源。当显示包含外部内容的电子邮件时，应该默认仅在用户确认后加载。然而，可以发现某些嵌入的图像（参见PoC）在"自动重新加载图像"功能默认为禁用时也被加载。重载还通过HTTP进行，遵循重定向。这种行为对用户来说是意外的，因为用户认为只有在明确手动确认后才会加载外部内容。电子邮件中的外部内容的加载代表着风险，因为这使得发件人意识到电子邮件地址被使用，电子邮件被读取的时间，使用的设备以及暴露用户的IP地址。版本119.10中修复了这个问题。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://github.com/tutao/tutanota/security/advisories/GHSA-32w8-v5fc-vpp7 |
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 未更改
- 用户交互 无
- 可用性 无
- 保密性 低
- 完整性 无
| CWE-ID | 漏洞类型 |
| CWE-918 | 服务端请求伪造（SSRF） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论