Evolution – อีเมลไคลเอนต์ที่อาจไม่ปลอดภัยอย่างที่คิด หลายคนที่ใช้ Linux โดยเฉพาะบน GNOME desktop environment อาจคุ้นเคยกับ Evolution ซึ่งเป็นอีเมลไคลเอนต์โอเพนซอร์สที่มีฟีเจอร์ครบครัน ทั้งการจัดการอีเมล ปฏิทิน รายชื่อผู้ติดต่อ และรองรับโปรโตคอลหลากหลาย เช่น IMAP, POP และ Microsoft Exchange Evolution มีชื่อเสียงด้านความปลอดภัย โดยเฉพาะฟีเจอร์ “Load Remote Content” ที่ช่วยบล็อกการโหลดเนื้อหาจากภายนอก เช่น tracking pixels ที่นักการตลาดใช้ติดตามว่าเราเปิดอีเมลหรือไม่ แต่ Mike Cardwell ผู้ดูแลระบบจากสหราชอาณาจักรค้นพบช่องโหว่ร้ายแรง: แม้จะปิด “Load Remote Content” แล้ว หากอีเมลมี HTML tag ที่ฝัง DNS request เช่น <img src=\"trackingcode.attackersdomain.example.com\"> Evolution ก็ยังส่ง DNS request ไปยังโดเมนนั้นทันทีที่เปิดอีเมล! นั่นหมายความว่า ผู้ส่งสามารถรู้ว่าเราเปิดอีเมล และอาจระบุตำแหน่งของเราผ่าน IP ของ DNS resolver ได้ Cardwell แจ้งบั๊กไปยังทีมพัฒนา Evolution แต่กลับได้รับคำตอบแบบปัดความรับผิดชอบ โดยโยนปัญหาไปที่ WebKitGTK ซึ่งเป็นเอนจินแสดงผล HTML ที่ Evolution ใช้ และปิดเคสโดยอ้างถึงบั๊กเก่าที่ไม่มีวี่แววว่าจะได้รับการแก้ไข เขาเสนอแนวทางแก้ไข เช่น การกรอง HTML tags ที่ไม่ปลอดภัยก่อนส่งต่อให้ WebKitGTK แต่ดูเหมือนทีมพัฒนาไม่สนใจจะนำไปใช้ ทำให้ Cardwell แนะนำให้ผู้ใช้ที่ห่วงเรื่องความเป็นส่วนตัว “เลิกใช้ Evolution” และหาทางเลือกอื่นแทน ✅ ข้อมูลจากข่าว - Evolution เป็นอีเมลไคลเอนต์โอเพนซอร์สยอดนิยมบน Linux โดยเฉพาะ GNOME - มีฟีเจอร์ด้านความปลอดภัย เช่น GPG encryption และการบล็อก remote content - พบช่องโหว่ที่ทำให้ DNS request ถูกส่งออกแม้จะปิดการโหลดเนื้อหาภายนอก - ช่องโหว่นี้ทำให้ผู้ส่งอีเมลสามารถรู้ว่าเราเปิดอีเมลและอาจระบุตำแหน่งได้ - ทีมพัฒนา Evolution ปัดความรับผิดชอบ โดยโยนปัญหาไปที่ WebKitGTK - ช่องโหว่นี้เคยถูกแจ้งตั้งแต่ปี 2023 แต่ยังไม่มีการแก้ไข - Cardwell แนะนำให้เลิกใช้ Evolution หากห่วงเรื่องความเป็นส่วนตัว ‼️ คำเตือนและข้อควรระวัง - ผู้ใช้ Evolution อาจถูกติดตามผ่าน DNS request โดยไม่รู้ตัว - ฟีเจอร์ “Load Remote Content” ไม่สามารถป้องกันการรั่วไหลของข้อมูลได้จริง - การใช้อีเมลไคลเอนต์ที่ไม่กรอง HTML tags อาจเสี่ยงต่อการถูกโจมตีหรือติดตาม - ควรพิจารณาเปลี่ยนไปใช้อีเมลไคลเอนต์ที่เน้นความเป็นส่วนตัว เช่น Thunderbird หรือ Mailspring - ผู้ใช้ Linux ที่ใช้ GNOME อาจได้รับผลกระทบโดยไม่รู้ตัว เพราะ Evolution มักติดตั้งมาโดยอัตโนมัติ https://www.neowin.net/news/if-you-care-about-privacy-stop-using-this-popular-linux-email-client-sysadmin-warns/