SMTP smuggling
Een spoofingaanval op e-mail, in december 2023 gepubliceerd door SEC Consult, die een tweede bericht in het eerste verstopt door servers uit te buiten die het oneens zijn over waar de berichtdata eindigt.
Wat het betekent
Het standaardeinde van berichtdata is CRLF.CRLF, maar sommige servers accepteerden ook varianten met losse line feeds, zoals LF.LF of LF.CRLF. Een aanvaller die kon verzenden via een uitgaande dienst die zo’n reeks ongewijzigd doorliet, kon midden in een bericht een nep-einde van de data plaatsen, gevolgd door nieuwe SMTP-commando’s. Een ontvangende server die de variant honoreerde, zag dan twee berichten, waarvan het tweede een afzender naar keuze van de aanvaller spoofte terwijl het van de servers van de legitieme dienst kwam, zodat SPF ervoor kon slagen.
De maintainer van Postfix herleidde de zwakte tot de tientallen jaren oude acceptatie van losse line feeds door Sendmail, die Postfix en Exim voor compatibiliteit hadden overgenomen, en Postfix voegde instellingen toe om ze te weigeren. Strikte omgang met regeleinden is voor mailservers een beveiligingskwestie.
Verwante begrippen
Bronnen
Waar deze definitie op steunt. De formulering is van ons, de feiten zijn van hen.
- SEC Consult: SMTP Smuggling, spoofing e-mails worldwidesec-consult.com
- Postfix: SMTP Smugglingpostfix.org
Alle 432 begrippen in de begrippenlijstDe wiki: blacklists en bouncecodes