Outlook десятилетиями разрешал незашифрованные соединения В почтовом клиенте Microsoft Outlook…

Outlook десятилетиями разрешал незашифрованные соединения

В почтовом клиенте Microsoft Outlook обнаружена проблема, которая, судя по всему, существовала как минимум с 2007 года. Клиент мог незаметно для пользователя понижать защищенное SSL/TLS-соединение до незашифрованного plaintext-соединения. При этом в настройках галка «Use TLS/SSL» оставалась включенной, то есть пользователи были уверены, что их почта защищена, а на деле данные передавались в открытом виде.

Обнаружилась проблема благодаря обновлению почтового сервера. Администратор перевел серверы с Fedora 42 на Fedora Server 43, где версия Dovecot SMTP/IMAP была обновлена до 2.4.3. В этой версии отключили незашифрованную аутентификацию. После обновления клиенты Outlook начали выдавать ошибку: «Cleartext authentication disallowed on non-secure (SSL/TLS) connections». Выяснилось, что все затронутые пользователи использовали Outlook версий с 2007 по 2016, а сама проблема воспроизводится при использовании протокола POP3 на порту 110, даже если в настройках принудительно включен TLS.

Почему эту уязвимость не замечали раньше? Вопрос хороший. Сейчас по умолчанию в Outlook для POP3 используется порт 995, где шифрование работает корректно. Однако в старых конфигурациях или в средах с большим количеством разнообразных настроек (например, веб-хостинг) эта проблема могла оставаться незамеченной годами. По сути, речь идет о прозрачном потоке данных на десятилетия. Логины, пароли и содержимое писем могли перехватывать все, кто находится в сети или на пути к серверу. Более того, это прямое нарушение европейского GDPR, который требует шифрования клиентских данных.

Если вы используете POP3, убедитесь, что порт подключения — 995, а не 110. И хотя проблема официально подтверждена для версий до 2016 года, не помешает проверить и более новые версии. Microsoft пока официально не комментировала, затронуты ли они.