Belleza engañosa: estilos maliciosos permiten a terceros ejecutar comandos en Gmai
Abrir un mensaje en el correo web se convirtió en una trampa para robar datos.
El correo web durante décadas ha intentado mostrar de forma segura HTML ajeno, pero la frontera entre el mensaje y la interfaz del servicio resultó ser más delgada de lo que esperaban los desarrolladores. El especialista de PortSwigger Gareth Heyes mostró en una serie de ataques de prueba que el HTML y el CSS permitidos pueden usarse para interceptar acciones, filtrar tokens e incluso robar contraseñas en servicios de correo populares.
El problema surge cuando el filtro del servicio de correo y el navegador analizan los estilos de forma distinta. El código que el filtro considera seguro puede, tras el tratamiento del navegador, convertirse en otro conjunto de reglas y salirse del mensaje. En Fastmail Heyes logró tal «mutación» del CSS mediante el CSSOM, y en Outlook esquivó el filtro aprovechando particularidades del análisis de las consultas de medios y de los comentarios.
La demostración más peligrosa afectó a Outlook. Un mensaje malicioso podía ocupar toda la pantalla y suplantar la interfaz con una página de inicio de sesión. Luego el CSS convertía un elemento select en un campo de contraseña y registraba las pulsaciones de teclas. En Firefox un truco adicional de desplazamiento del elemento permitió eliminar el retraso entre caracteres y convertir el esquema en un capturador de teclado que funciona en tiempo real.
Otras pruebas mostraron que el CSS puede influir en las acciones del usuario dentro del servicio de correo. En Fastmail, la técnica denominada CSS Hotwiring cubría la página con un elemento invisible y redirigía un clic normal a otro comando de la interfaz. El equipo de Fastmail corrigió dos errores con «mutación» del CSS, pagando 1000 dólares por cada hallazgo.
Un escenario separado vinculó el mensaje con el navegador de IA Atlas. Heyes ocultó en el mensaje instrucciones que el usuario no veía, pero que leía el modelo lingüístico. Tras una orden de traducción, Atlas en la prueba empezaba a abrir pestañas y enviaba el nombre desde la página a un servidor remoto. Este tipo de ataque fue una demostración de laboratorio de una inyección indirecta de instrucciones, no la descripción de un hackeo real.
PortSwigger recomienda aislar el contenido de los mensajes en un iframe con sandbox, prohibir selectores CSS peligrosos y elementos select, bloquear solicitudes externas de imágenes y URL data:, y también comprobar la interfaz en busca de gadgets CSS. El informe también señala que la evasión de rastreo en Gmail y el control de elementos de Outlook mediante la etiqueta HTML label se mantenían al momento de la publicación.