Cuidado, o seu cliente de e-mail do Linux pode estar a revelar informação privada

Um dos clientes de e-mail mais populares do Linux tem uma vulnerabilidade grave, que pode vazar as informações. O Evolution tem uma falha de segurança há meses, e a equipa de programadores não fez nada para resolver esta situação. O pior de tudo é que vem pré-instalado por defeito no GNOME, o que significa que está presente em muitas distribuições populares.

Segundo o que foi divulgado, o Evolution tem uma vulnerabilidade que pode revelar o endereço IP do utilizador e confirmar que este viu a mensagem. Mike Cardwell, um administrador de sistemas do Reino Unido, descobriu que certos e-mails podem desencadear consultas DNS, mesmo quando a opção "Carregar conteúdo remoto" está desativada.

O atacante precisa simplesmente de carregar uma tag HTML contendo código malicioso. Por exemplo, se incluir a etiqueta algures <img src="trackingcode.attackersdomain.example.com/imagen.png" /> na mensagem, o Evolution não carregará a imagem, mas executará uma resolução DNS para o domínio. Isto porque o WebKitGTK, o motor de renderização utilizado pela aplicação no Linux, renderiza as tags HTML mesmo que o conteúdo remoto esteja bloqueado.

Ao abrir o e-mail, o servidor apresenta a consulta DNS nos seus logs. Esta consulta não só mostra que abriu a mensagem, como também pode revelar o seu endereço IP e, em alguns casos, a sua localização aproximada. A falha é grave, tendo em conta que o Evolution vem pré-instalado em distribuições Linux como o Fedora, Ubuntu, POP!_OS, Zorin e outras edições. Isto significa que milhares de utilizadores que o utilizam podem estar vulneráveis sem o saber.

Esta vulnerabilidade está ativa há quase dois anos e a equipa da Evolution ainda não a corrigiu. Cardwell sugeriu aos programadores que a aplicação filtrasse ou removesse as tags HTML maliciosas antes de exibir o conteúdo da mensagem ao utilizador. Infelizmente, os programadores rejeitaram o pedido e culparam o WebKitGTK, pelo que uma correção não será lançada em breve.

Embora uma das características mais notáveis do Evolution seja a segurança, a aplicação deixa a desejar neste caso. A única recomendação seria mudar para outro cliente de e-mail no Linux que bloqueie marcadores inseguros ou que tenha a sua própria renderização mais segura.

Uma alternativa é o Thunderbird , que não realiza consultas DNS ocultas e bloqueia conteúdos remotos. Outra opção é o Tuta Mail , um cliente de código aberto que permite a encriptação completa e já oferece encriptação pós-quântica. Por fim, o Proton é sempre uma das opções mais fiáveis, embora exija uma taxa.