CVE-2019-1218 Outlook iOS Spoofing-Schwachstelle

Ich habe XSS in der IOS Outlook Mobile Application entdeckt. Eine schwerwiegende Schwachstelle in Microsoft Outlook für IOS, die es einem Angreifer ermöglichen könnte, das Gerät eines Opfers zu übernehmen. Das Sicherheitsproblem könnte es einem böswilligen Akteur ermöglichen, einen Cross-Site-Scripting (XSS)-Exploit auf jedem IOS-Smartphone oder -Tablet mit dem E-Mail-Client auszuführen. Dies liegt an der Art und Weise, wie die Software speziell gestaltete E-Mail-Nachrichten parst.

Durch die Verwendung der Javascript-Payloads kann der Inhalt in der Anwendung modifiziert werden.

Eine Spoofing-Schwachstelle besteht in der Art und Weise, wie die Microsoft Outlook iOS-Software speziell gestaltete E-Mail-Nachrichten parst. Ein authentifizierter Angreifer könnte die Schwachstelle ausnutzen, indem er eine speziell gestaltete E-Mail-Nachricht an ein Opfer sendet.

Der Angreifer, der diese Schwachstelle erfolgreich ausgenutzt hat, könnte dann Cross-Site-Scripting-Angriffe auf den betroffenen Systemen durchführen und Skripte im Sicherheitskontext des aktuellen Benutzers ausführen.

Das Sicherheitsupdate behebt die Schwachstelle, indem es korrigiert, wie Outlook für IOS speziell gestaltete E-Mail-Nachrichten parst.

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1218

poc.gif