Comment une évasion de bordure CSS a compromis les interfaces de messagerie web les plus fiables au monde

Je me souviens d'être resté assis dans un centre d'opérations de sécurité sans fenêtre il y a trois ans, regardant un membre d'une red team contourner un pare-feu d'application web de plusieurs millions de dollars avec un seul caractère encodé. C'était un rappel humiliant que la complexité est l'ennemie de la sécurité. Nous supposons souvent que plus nous dépensons pour une couche défensive, plus sa protection est certaine. Cette croyance est un sophisme. Des recherches récentes présentées par Gareth Heyes de PortSwigger lors du Black Hat USA 2026 prouvent que même les plateformes de messagerie web les plus matures sont vulnérables aux attaques basées sur le style.

Les fournisseurs de messagerie web comme Gmail, Outlook et Proton Mail dépensent des millions dans des moteurs de nettoyage (sanitization). Ces systèmes agissent comme le videur d'un club VIP à chaque porte interne. Ils analysent chaque e-mail HTML entrant à la recherche de scripts malveillants et de balises dangereuses. Si un morceau de code semble suspect, le nettoyeur le supprime. Cette recherche montre qu'un attaquant n'a pas besoin de JavaScript pour causer des dommages. Il n'a besoin que de feuilles de style en cascade (CSS). En exploitant la manière dont les navigateurs et les clients de messagerie web interprètent le style, un attaquant peut franchir la barrière entre un e-mail non fiable et l'interface de l'application fiable.

Le paradoxe architectural du nettoyage des e-mails

Le problème fondamental est la limite. Lorsque vous ouvrez un e-mail, le client de messagerie web place ce contenu non fiable à l'intérieur de sa propre interface utilisateur fiable. Il existe une paroi mince entre le message et vos boutons « Boîte de réception » ou « Paramètres ». Habituellement, cette paroi est une série de filtres qui empêchent l'e-mail d'affecter le reste de la page. Cette recherche démontre comment le CSS peut traverser cette paroi.

Une voie implique l'abus du HTML et du CSS que le nettoyeur autorise déjà. L'autre voie crée une divergence entre ce que le nettoyeur approuve et ce que le navigateur finit par afficher. Les deux voies mènent au même résultat. Le contenu de l'e-mail interfère avec l'interface de messagerie web. Cela peut conduire au vol de mots de passe, à la fuite de jetons et à des actions non autorisées sur l'interface utilisateur. C'est un échec systémique du modèle d'isolation sur lequel nous comptons depuis des décennies.

La chaîne de capture de mot de passe Outlook

La découverte la plus spectaculaire concerne Outlook et Firefox. Cette chaîne d'attaque est un cas d'école combinant des comportements mineurs du navigateur pour parvenir à un compromis critique. Le chercheur a utilisé des éléments de libellé (label) autorisés pour déclencher des commandes en dehors du message électronique. Ensuite, une astuce d'analyse de requête média a permis l'injection de CSS arbitraire que le nettoyeur avait manqué.

À l'intérieur de l'e-mail, l'attaquant déguise un élément de sélection standard en écran de connexion Microsoft. C'est là qu'intervient le comportement de Firefox. Firefox dispose d'un minuteur interne d'environ une seconde pour les menus de sélection. Si l'élément de sélection sort de l'écran, le navigateur réinitialise ce minuteur. En déplaçant l'élément stratégiquement, l'attaquant fait en sorte que la capture se produise en temps réel. Lorsqu'un utilisateur pense taper son mot de passe dans une invite de confiance, il le transmet en réalité directement à l'attaquant. Cette technique contourne les avertissements de phishing traditionnels car l'URL dans la barre d'adresse est toujours outlook.live.com.

La course au collage Yahoo et AOL

Yahoo Mail et AOL Mail ont révélé une vulnérabilité différente ancrée dans la gestion du presse-papiers par les navigateurs. Dans Firefox, le HTML collé peut brièvement conserver le CSS actif avant que le nettoyeur de l'application n'ait la possibilité de le nettoyer. C'est une « course au collage » (paste race). La recherche a démontré cela en ciblant les jetons de connexion par e-mail de Medium.

Dans ce scénario, l'attaquant initie un flux de connexion pour le compte Medium de la victime. La victime reçoit un e-mail de connexion légitime. Cependant, l'attaquant a déjà envoyé un e-mail séparé contenant du CSS malveillant. La victime copie ce contenu et le colle dans un brouillon dans Yahoo ou AOL. Pendant cette fraction de seconde du collage, le CSS malveillant envoie des requêtes au serveur de l'attaquant. Ces requêtes révèlent suffisamment de caractères du jeton de connexion à 12 chiffres pour que le serveur puisse reconstruire le code complet. L'attaquant utilise ensuite ce jeton pour se connecter en tant que victime. Tout le processus repose sur une condition de concurrence qui se produit en un clin d'œil.

Exfiltration de jetons par injection de requêtes

L'essor des outils de messagerie connectés à l'IA crée une nouvelle surface d'attaque. Gmail en fournit un exemple clair via son comportement de secours image-set(). Malgré les efforts de nettoyage, cette fonction CSS peut toujours effectuer des requêtes externes. Gareth Heyes et Pete Hendy ont enchaîné cela avec une attaque par injection indirecte de requêtes (prompt injection). Cela ciblait spécifiquement les utilisateurs de l'outil Claude Cowork d'Anthropic, qui se connecte à Gmail pour traiter les messages.

Un attaquant envoie un e-mail contenant des instructions cachées pour l'IA. Lorsque la victime demande à Claude de traiter ses e-mails récents, l'IA suit les instructions injectées au lieu de la commande de l'utilisateur. Dans la démonstration, l'IA a récupéré un jeton Slack à partir d'un e-mail de confirmation séparé et l'a placé dans un nouveau brouillon HTML. Lorsque la victime a consulté ce brouillon, le contournement image-set() a exfiltré le jeton vers l'attaquant. Cette tournure des événements montre comment les agents d'IA peuvent devenir un cheval de Troie numérique au sein d'un environnement sécurisé.

Fastmail et l'art du détournement CSS

Fastmail était vulnérable à ce que le chercheur appelle le « détournement CSS » (CSS hotwiring). Cette technique redirige les clics vers des actions d'interface utilisateur involontaires en plusieurs étapes. En utilisant des pseudo-éléments CSS et l'opacité, un attaquant peut superposer des boutons invisibles sur l'interface légitime de Fastmail. Un utilisateur qui pense cliquer sur un lien dans un e-mail pourrait en réalité cliquer sur un bouton qui supprime sa boîte de réception ou modifie les paramètres de son compte.

Cette recherche a également ciblé le navigateur IA Atlas d'OpenAI. Un attaquant peut utiliser le CSS pour montrer une chose à un humain et une autre à une machine. Par exemple, l'humain voit un paragraphe de texte inoffensif. Le modèle d'IA lit des instructions cachées encodées dans le CSS. Lorsque l'utilisateur demande à Atlas de traduire le texte visible, les instructions cachées obligent le navigateur à ouvrir de nouveaux onglets et à faire fuiter le nom de la victime dans les fragments d'URL. Bien qu'OpenAI abandonne Atlas le 9 août 2026, la technique reste un avertissement pour tout développeur créant une IA qui interagit avec le web.

Fuites de confidentialité dans Proton Mail

Même les services axés sur la confidentialité comme Proton Mail ne sont pas immunisés. Le chercheur a démontré un vecteur qui exposait l'adresse IP d'un destinataire. Proton Mail est conçu pour cacher cette information aux expéditeurs grâce à la protection contre les traceurs. Cependant, un contournement CSS spécifique a permis le déclenchement d'une requête externe lors de l'ouverture de l'e-mail. Cela a révélé l'heure exacte à laquelle l'e-mail a été lu et l'adresse IP personnelle de l'utilisateur. Proton a depuis corrigé certains contournements de proxy, mais la recherche souligne la difficulté de maintenir un périmètre parfait dans un monde de CSS complexe.

Renforcer la messagerie web contre les attaques de style

Ces découvertes suggèrent que notre approche actuelle de la sécurité des e-mails est réactive. Nous attendons qu'un chercheur trouve un contournement, puis nous le corrigeons. Pour les fournisseurs de messagerie web, les conseils défensifs sont désormais beaucoup plus stricts. La défense la plus efficace est l'isolation totale. Cela signifie le rendu des e-mails HTML à l'intérieur d'iframes isolées (sandboxed). Cela empêche le style de l'e-mail d'atteindre l'interface utilisateur parente.

Les fournisseurs doivent également restreindre les propriétés CSS à une liste d'autorisation stricte de caractères sûrs. Ils devraient bloquer les menus de sélection, les attributs personnalisés et les sélecteurs dangereux comme :has(). De plus, ils doivent empêcher toutes les requêtes d'images contrôlées par l'attaquant, même celles qui semblent provenir de domaines autorisés. Du point de vue de l'utilisateur final, la meilleure défense est une saine paranoïa. Méfiez-vous de tout e-mail qui vous demande de copier et coller du contenu ou d'interagir avec des éléments d'interface utilisateur inhabituels.

Points clés pour les équipes de sécurité

• Mettre en œuvre un sandboxing strict par iframe pour tout contenu HTML non fiable.
• Valider le CSS par rapport à une liste d'autorisation basée sur les caractères plutôt qu'une liste de blocage basée sur les balises.
• Auditer l'interaction entre les assistants d'IA et le DOM de l'e-mail pour prévenir l'injection indirecte de requêtes.
• Désactiver les fonctionnalités CSS dangereuses comme image-set() et les pseudo-sélecteurs complexes dans le corps de l'e-mail.
• Examiner le comportement des attributs HTML personnalisés que JavaScript pourrait transformer ultérieurement en éléments actifs.

Sources :

• PortSwigger Research: Gareth Heyes, Black Hat USA 2026 Paper
• NIST Special Publication 800-45 Version 2: Guide to Electronic Mail Security
• MITRE ATT&CK Framework: T1566 (Phishing) and T1189 (Drive-by Compromise)

Cet article est uniquement à des fins d'information et d'éducation et ne remplace pas un audit de cybersécurité professionnel ou un service de réponse aux incidents.