Microsoft Autodiscover неправильно обрабатывал домен example.com и мог раскрывать тестовые учётные данные

Исследователи безопасности обнаружили, что служба Autodiscover от компании Microsoft, используемая для автоматической настройки почтовых клиентов вроде Outlook, неправильно обрабатывала домен example.com - специальный домен, зарезервированный для примеров и тестов и не предназначенный для реального использования в почтовом трафике. Проверки показывают, что этот дефект существовал как минимум с февраля 2020 года и мог приводить к отправке тестовых логинов и паролей на внешние серверы без участия пользователя.

Проблема проявлялась при вводе фиктивного адреса электронной почты вида email@example.com в Outlook на платформах Windows и macOS. Служба Autodiscover автоматически подставляла в настройки клиента адреса IMAP и SMTP, относящиеся к почтовым серверам компании Sumitomo Electric Industries (imapgms.jnet.sei.co.jp и smtpgms.jnet.sei.co.jp), несмотря на то, что у example.com отсутствуют реальные DNS-записи для почты и он не принимает электронную корреспонденцию.

Проверки DNS показали, что у example.com установлена нулевая запись MX, указывающая на то, что почта для домена не принимается, и отсутствуют записи CNAME или SRV для автоконфигурации почтовых клиентов. Тем не менее служба Microsoft возвращала данные, которые направляли клиент Outlook к сторонним хостам, что вызывает вопросы о корректности обработки доменных настроек на стороне Microsoft.

Подобная ненадёжная автоконфигурация могла привести к ситуации, когда введённые пользователем тестовые учётные данные для example.com были бы отправлены на внешний сервер, не связанный с самим тестируемым доменом. Это создаёт риск потенциальной утечки чувствительной информации, если пользователи использовали фиктивные профили в реальных условиях.

Технологическое сообщество обсуждает, что подобные ошибки указывают на необходимость тщательного следования интернет-стандартам, в частности, ARFC 2606, который определяет example.com как домен исключительно для примеров и документации, а не для реальной эксплуатации.

Microsoft заявила, что обновила службу Autodiscover так, чтобы больше не предоставлять некорректные настройки для example.com, и проводит дальнейшее расследование причин возникновения ошибки, однако точные детали и причины её появления остаются предметом анализа.