Revelación de vulnerabilidades

Hemos corregido una vulnerabilidad en el plazo de un día desde su notificación.

2023-06-12
Focus on security: Fixed vulnerability within two days.
El 3 de abril se publicó una versión vulnerable de Tutanota. Uno de nuestros usuarios nos notificó el problema tres días después y lo solucionamos inmediatamente. Ahora, todas las versiones afectadas de Tutanota han sido desactivadas y nos gustaría informarle sobre el problema para una total transparencia.

Todas las aplicaciones de Tutanota (web, escritorio, Android, iOS) versión 3.112.5 eran vulnerables a la inyección de atributos HTML que explicamos con más detalle a continuación.

La vulnerabilidad se ha corregido y las versiones vulnerables de las aplicaciones se han desactivado y ya no se pueden utilizar.

Detalles de la vulnerabilidad

La versión 3.112.5 de la aplicación introdujo la visualización del asunto del correo en la cabecera de la aplicación. Esto se hacía estableciendo un título para un componente que mostraba esa sección de la aplicación. El mismo título se utiliza como título ARIA de accesibilidad para esa vista a través del atributo aria-label. El código utilizaba las capacidades hyperscript de mithril para añadir atributos ARIA a través de una única cadena de selección. La cadena del selector estaba manipulada de forma insegura, lo que permitía manipular el selector y, por tanto, los atributos HTML mediante el uso de un asunto de correo electrónico manipulado específicamente.

La vulnerabilidad se solucionó utilizando un objeto attributes en lugar de codificar los atributos en un selector mithril.

Impacto

No tenemos conocimiento de ningún incidente en el que se haya explotado la vulnerabilidad.

No es necesaria ninguna acción por su parte.

Cronología

  • 03-04-2023 Se publica la versión vulnerable.
  • 06-04-2023 Se reciben informes sobre el correo, se parchea la vulnerabilidad y se publica la versión parcheada.
  • 09-05-2023 La versión vulnerable se marca como obsoleta.
  • 25-05-2023 Se desactiva la versión vulnerable

El código abierto aumenta el nivel de seguridad

Siempre hemos insistido en el hecho de que las herramientas de código abierto son más seguras que las aplicaciones de código cerrado. El código de los clientes de código abierto puede ser inspeccionado por la comunidad de seguridad para asegurarse de que el código está libre de errores, vulnerabilidades y puertas traseras.

Aunque desafortunada, la vulnerabilidad que describimos anteriormente demuestra que esto es realmente cierto. Aunque el código fuente cerrado puede tener problemas similares, es posible que los usuarios nunca lo descubran.

Nos alegra que tanto los expertos en seguridad como nuestros usuarios examinen nuestro código e informen de los problemas.

Nos motiva a trabajar aún más duro para mejorar Tutanota.

Author
Black and white picture of Willow supporting themselves with an arm.
Willow es el desarrollador principal de Tuta, centrándose en mejorar el cliente web de Tuta, así como Tuta para Android y iPhone en términos de características e interfaz de usuario. Willow es un experto en todo lo relacionado con el código abierto y en cómo implementar mejor las protecciones de privacidad en nuestra plataforma segura de correo electrónico y calendario. A Willow le gusta explicar por qué es importante el código abierto y cómo crear una gran interfaz de usuario que facilite el cifrado.
Artículos más leídos
Latest posts