E-mailheaderinjectie
Een aanval op een webformulier of app die e-mail opbouwt uit gebruikersinvoer: geïnjecteerde regeleinden voegen headers als Bcc toe, waardoor het formulier een spamrelay wordt.
Wat het betekent
Headers van een bericht worden gescheiden door regeleinden. Zet een applicatie gebruikersinvoer, zoals een naam, e-mailadres of onderwerp, in een header zonder carriage returns en line feeds te verwijderen, dan kan een aanvaller de header voortijdig afsluiten en nieuwe toevoegen: extra ontvangers via Cc of Bcc, een ander From-adres of een nieuwe body. MITRE catalogiseert het als CAPEC-134, email injection.
Het resultaat is mail die vanaf jouw server en domein wordt verstuurd, ondertekend en geauthenticeerd als de jouwe, naar wie de aanvaller maar wil. Dat schaadt de reputatie van domein en IP-adres en kan de server op een blacklist zetten.
Voorkom het door CR en LF te weigeren of te verwijderen in elke waarde die in een header komt, e-mailadressen strikt te valideren en maillibraries te gebruiken die headers coderen in plaats van strings aan elkaar te plakken.
Voorbeeld
name=Alice%0d%0aBcc:%20victims@example.netVerwante begrippen
Bronnen
Waar deze definitie op steunt. De formulering is van ons, de feiten zijn van hen.
- MITRE CAPEC-134: Email Injectioncapec.mitre.org
Alle 432 begrippen in de begrippenlijstDe wiki: blacklists en bouncecodes