SMTP Smuggling — eine neue Spoofing-Technik für E-Mail-Nachrichten

Forscher von SEC Consult haben eine neue Spoofing-Technik veröffentlicht, die durch Abweichungen in der Spezifikationsverfolgung in verschiedenen Implementierungen des SMTP-Protokolls verursacht wird. Die vorgeschlagene Angriffstechnik ermöglicht es, eine Nachricht in mehrere unterschiedliche Nachrichten zu splitten, während sie vom ursprünglichen SMTP-Server an einen anderen SMTP-Server übertragen wird, der die Reihenfolge zur Aufteilung von Nachrichten, die über eine Verbindung gesendet werden, anders interpretiert. Diese Methode kann verwendet werden, um gefälschte Nachrichten im Namen anderer Absender in E-Mail-Diensten zu versenden, die den ursprünglichen Absender verifizieren.

Das Problem entsteht, weil verschiedene SMTP-Server die Datenende-Sequenz unterschiedlich interpretieren, was dazu führen kann, dass eine einzelne Nachricht in mehrere innerhalb eines einzigen SMTP-Server-Sitzungssitzungsrahmen aufgeteilt wird. In der Spezifikation für die Kennzeichnung des Endes der Übertragung einer Nachricht ist die Sequenz „\r\n.\r\n“ (ein Punkt, umgeben von Wagenrücklauf- und Zeilenumbruchzeichen) definiert. Nach dieser Sequenz können Kommandos zum Versenden einer anderen Nachricht folgen, ohne die Verbindung zu unterbrechen. Einige SMTP-Server halten sich strikt an diese Vorgabe, während andere, um Kompatibilität mit einigen seltenen E-Mail-Clients zu gewährleisten, auch solche Sequenzen wie „\n.\n“, „\n.\r\n“, „\r\n.\n“, „\r.\r“, „\r\n\0.\r\n“ und „\r\n\0.\r\n“ als Trennzeichen verarbeiten.

Der Angriff besteht darin, dass an den ersten Server, der nur das Trennzeichen „\r\n.\r\n“ verarbeitet, eine Nachricht gesendet wird, deren Inhalt ein alternatives Trennzeichen enthält, beispielsweise „\r.\r“, gefolgt von Kommandos zum Versenden der zweiten Nachricht. Da der erste Server strikt der Spezifikation folgt, behandelt er die empfangene Sequenz als eine Nachricht. Wenn die Nachricht dann an einen Transit- oder Empfängerserver gesendet wird, der die Sequenz „\r.\r“ zusätzlich als Trennzeichen interpretiert, wird sie als zwei separat gesendete Nachrichten verarbeitet (die zweite Nachricht kann im Namen eines Benutzers gesendet werden, der sich nicht über „AUTH LOGIN“ authentifiziert hat, aber auf der Empfängerseite korrekt aussieht).

Beispiele für SMTP-Server und Dienste, die alternative Trennzeichen zulassen, sind Postfix, Sendmail, MS Exchange Online und Cisco Secure Email Gateway. Unter den E-Mail-Diensten, die ungültige Trennzeichen in E-Mails beim Zugriff auf andere Server nicht filtern, sind GMX, iCloud und Microsoft Outlook.

Um das Problem in Postfix zu blockieren, wurde in den Versionen 3.8.1, 3.7.6, 3.6.10 und 3.5.20 die Einstellung „smtpd_forbid_unauth_pipelining“ hinzugefügt, die die Verbindung trennt, wenn Trennzeichen verwendet werden, die nicht den Anforderungen von RFC 2920 und RFC 5321 entsprechen. Derzeit ist diese Einstellung standardmäßig deaktiviert, soll aber in der Postfix-Version 3.9, die im Frühjahr 2024 erwartet wird, standardmäßig aktiviert werden. In der Version 3.9 wird auch die Einstellung smtpd_forbid_bare_newline eingeführt, die einen Fehler ausgibt, wenn nur das Zeilenumbruchzeichen („\n“) zur Trennung von Zeilen verwendet wird, was gegen RFC 5321 verstößt.

In der bevorstehenden Version Sendmail 8.18.0.2 wird zur Abwehr von Angriffen in srv_features eine Option ‚o‘ vorgeschlagen, die nur die Sequenz „\r\n.\r\n“ verarbeitet. Es wird darauf hingewiesen, dass das Deaktivieren der Unterstützung für alternative Trennzeichen die Funktion einiger seltener E-Mail-Clients, die die SMTP-Spezifikation nicht vollständig einhalten, beeinträchtigen kann.

Quelle: opennet.ru