E-Mail-Header-Injection
Ein Angriff auf ein Webformular oder eine App, die E-Mails aus Nutzereingaben baut: Eingeschleuste Zeilenumbrüche fügen Header wie Bcc hinzu und machen das Formular zum Spam-Relay.
Was es bedeutet
Die Header einer Nachricht sind durch Zeilenumbrüche getrennt. Setzt eine Anwendung Nutzereingaben wie einen Namen, eine E-Mail-Adresse oder einen Betreff in einen Header, ohne Carriage Returns und Line Feeds zu entfernen, kann ein Angreifer den Header vorzeitig beenden und neue hinzufügen: weitere Empfänger über Cc oder Bcc, ein anderes From oder einen neuen Body. MITRE führt das als CAPEC-134, Email Injection.
Das Ergebnis sind E-Mails, die von Ihrem Server und Ihrer Domain gesendet und als Ihre signiert und authentifiziert werden, an wen auch immer der Angreifer will. Das schadet der Domain- und IP-Reputation und kann den Server auf Blacklists bringen.
Verhindern Sie es, indem Sie CR und LF in jedem Wert, der in einem Header landet, ablehnen oder entfernen, E-Mail-Adressen streng validieren und Mail-Bibliotheken nutzen, die Header kodieren, statt Strings zu verketten.
Beispiel
name=Alice%0d%0aBcc:%20victims@example.netVerwandte Begriffe
Quellen
Worauf diese Definition beruht. Die Formulierung stammt von uns, die Fakten von den Quellen.
- MITRE CAPEC-134: Email Injectioncapec.mitre.org
Alle 432 Begriffe im GlossarDas Wiki: Blacklists und Bounce-Codes