SMTP Smuggling
Ein im Dezember 2023 von SEC Consult veröffentlichter E-Mail-Spoofing-Angriff, der eine zweite Nachricht in der ersten versteckt und ausnutzt, dass Server sich uneinig sind, wo die Nachrichtendaten enden.
Was es bedeutet
Das Standardende der Nachrichtendaten ist CRLF.CRLF, doch manche Server akzeptierten auch Varianten mit alleinstehenden Line Feeds, etwa LF.LF oder LF.CRLF. Ein Angreifer, der über einen ausgehenden Dienst senden konnte, der eine solche Sequenz unverändert durchließ, konnte mitten in einer Nachricht eine gefälschte Endmarkierung platzieren, gefolgt von neuen SMTP-Befehlen. Ein empfangender Server, der die Variante anerkannte, sah dann zwei Nachrichten, wobei die zweite einen vom Angreifer gewählten Absender fälschte und zugleich von den Servern des legitimen Dienstes kam, sodass SPF für sie bestehen konnte.
Der Maintainer von Postfix führte die Schwachstelle darauf zurück, dass Sendmail seit Jahrzehnten alleinstehende Line Feeds akzeptiert, was Postfix und Exim aus Kompatibilitätsgründen übernommen hatten, und Postfix ergänzte Einstellungen, um sie abzulehnen. Die strikte Behandlung von Zeilenenden ist für Mailserver eine Sicherheitsfrage.
Verwandte Begriffe
Quellen
Worauf diese Definition beruht. Die Formulierung stammt von uns, die Fakten von den Quellen.
- SEC Consult: SMTP Smuggling, spoofing e-mails worldwidesec-consult.com
- Postfix: SMTP Smugglingpostfix.org
Alle 432 Begriffe im GlossarDas Wiki: Blacklists und Bounce-Codes