SMTP Smuggling - เป€เบ•เบฑเบเบ™เบดเบเปƒเบซเบกเปˆเบชเปเบฒเบฅเบฑเบšเบเบฒเบ™เบซเบผเบญเบเบฅเบงเบ‡เบ‚เปเป‰เบ„เบงเบฒเบกเบญเบตเป€เบกเบง

เบ™เบฑเบเบ„เบปเป‰เบ™เบ„เบงเป‰เบฒเบˆเบฒเบ SEC Consult เป„เบ”เป‰เป€เบœเบตเบเปเบœเปˆเป€เบ•เบฑเบเบ™เบดเบเบเบฒเบ™เบซเบผเบญเบเบฅเบงเบ‡เปƒเบซเบกเปˆเบ—เบตเปˆเป€เบเบตเบ”เบˆเบฒเบเบ„เบงเบฒเบกเปเบ•เบเบ•เปˆเบฒเบ‡เปƒเบ™เบเบฒเบ™เบ›เบฐเบ•เบดเบšเบฑเบ”เบ•เบฒเบกเบ‚เปเป‰เบเปเบฒเบซเบ™เบปเบ”เปƒเบ™เบเบฒเบ™เบ›เบฐเบ•เบดเบšเบฑเบ”เบ—เบตเปˆเปเบ•เบเบ•เปˆเบฒเบ‡เบเบฑเบ™เบ‚เบญเบ‡เบญเบฐเบ™เบธเบชเบฑเบ™เบเบฒ SMTP. เป€เบ•เบฑเบเบ™เบดเบเบเบฒเบ™เป‚เบˆเบกเบ•เบตเบ—เบตเปˆเบชเบฐเป€เบซเบ™เบตเบญเบฐเบ™เบธเบเบฒเบ”เปƒเบซเป‰เบ‚เปเป‰เบ„เบงเบฒเบกเบซเบ™เบถเปˆเบ‡เบชเบฒเบกเบฒเบ”เปเบšเปˆเบ‡เบญเบญเบเป€เบ›เบฑเบ™เบ‚เปเป‰เบ„เบงเบฒเบกเบ—เบตเปˆเปเบ•เบเบ•เปˆเบฒเบ‡เบเบฑเบ™เบซเบผเบฒเบเป€เบกเบทเปˆเบญเบกเบฑเบ™เบ–เบทเบเบชเบปเปˆเบ‡เป‚เบ”เบเป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบ SMTP เบ•เบปเป‰เบ™เบชเบฐเบšเบฑเบšเป„เบ›เบซเบฒเป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบ SMTP เบญเบทเปˆเบ™, เป€เบŠเบดเปˆเบ‡เบ•เบตเบ„เบงเบฒเบกเบซเบกเบฒเบเบฅเปเบฒเบ”เบฑเบšเบ—เบตเปˆเปเบ•เบเบ•เปˆเบฒเบ‡เบเบฑเบ™เบเบฑเบšเบ•เบปเบงเบญเบฑเบเบชเบญเบ™เบ—เบตเปˆเปเบเบเบเบฑเบ™เบœเปˆเบฒเบ™เบเบฒเบ™เป€เบŠเบทเปˆเบญเบกเบ•เปเปˆเบซเบ™เบถเปˆเบ‡. เบงเบดเบ—เบตเบเบฒเบ™เบ”เบฑเปˆเบ‡เบเปˆเบฒเบงเบชเบฒเบกเบฒเบ”เบ–เบทเบเบ™เปเบฒเปƒเบŠเป‰เป€เบžเบทเปˆเบญเบชเบปเปˆเบ‡เบญเบตเป€เบกเบงเบ›เบญเบกเปƒเบ™เบ™เบฒเบกเบ‚เบญเบ‡เบœเบนเป‰เบชเบปเปˆเบ‡เบญเบทเปˆเบ™เป†เปƒเบ™เบเบฒเบ™เบšเปเบฅเบดเบเบฒเบ™เบญเบตเป€เบกเบงเบ—เบตเปˆเบเบงเบ”เบชเบญเบšเบœเบนเป‰เบชเบปเปˆเบ‡เบ•เบปเป‰เบ™เบชเบฐเบšเบฑเบš.

เบšเบฑเบ™เบซเบฒเปเบกเปˆเบ™เป€เบเบตเบ”เบกเบฒเบˆเบฒเบเบ„เบงเบฒเบกเบˆเบดเบ‡เบ—เบตเปˆเบงเปˆเบฒเป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบ SMTP เบ—เบตเปˆเปเบ•เบเบ•เปˆเบฒเบ‡เบเบฑเบ™เบ•เบตเบ„เบงเบฒเบกเบชเบดเป‰เบ™เบชเบธเบ”เบ‚เบญเบ‡เบฅเปเบฒเบ”เบฑเบšเบ‚เปเป‰เบกเบนเบ™เบ—เบตเปˆเปเบ•เบเบ•เปˆเบฒเบ‡เบเบฑเบ™, เป€เบŠเบดเปˆเบ‡เบชเบฒเบกเบฒเบ”เบ™เปเบฒเป„เบ›เบชเบนเปˆเบเบฒเบ™เปเบเบเบ•เบปเบงเบซเบ™เบฑเบ‡เบชเบทเบซเบ™เบถเปˆเบ‡เป€เบ‚เบปเป‰เบฒเป„เบ›เปƒเบ™เบซเบผเบฒเบเป†เบ„เบฑเป‰เบ‡เบžเบฒเบเปƒเบ™เบเบญเบ‡เบ›เบฐเบŠเบธเบกเบ”เบฝเบงเบเบฑเบ™เบเบฑเบšเป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบ SMTP. เบ‚เปเป‰เบกเบนเบ™เบˆเปเบฒเป€เบžเบฒเบฐเบเปเบฒเบ™เบปเบ”เบฅเปเบฒเบ”เบฑเบš โ€œ\r\n.\r\nโ€ (เป„เบฅเบเบฐเป€เบงเบฅเบฒเบ—เบตเปˆเบญเป‰เบญเบกเบฎเบญเบšเป„เบ›เบ”เป‰เบงเบเบเบฒเบ™เบเบฑเบšเบ„เบทเบ™ carriage เปเบฅเบฐเบ•เบปเบงเบญเบฑเบเบชเบญเบ™ feed เปเบ–เบง) เป€เบžเบทเปˆเบญเบซเบกเบฒเบเบเบฒเบ™เบชเบดเป‰เบ™เบชเบธเบ”เบ‚เบญเบ‡เบเบฒเบ™เบชเบปเปˆเบ‡เบˆเบปเบ”เบซเบกเบฒเบ. เบฅเปเบฒเบ”เบฑเบšเบ™เบตเป‰เบชเบฒเบกเบฒเบ”เบ›เบฐเบ•เบดเบšเบฑเบ”เบ•เบฒเบกเบ„เปเบฒเบชเบฑเปˆเบ‡เป€เบžเบทเปˆเบญเบชเบปเปˆเบ‡เบ‚เปเป‰เบ„เบงเบฒเบกเบญเบทเปˆเบ™เป‚เบ”เบเบšเปเปˆเบกเบตเบเบฒเบ™เบ—เปเบฒเบฅเบฒเบเบเบฒเบ™เป€เบŠเบทเปˆเบญเบกเบ•เปเปˆ. เบšเบฒเบ‡เป€เบŠเบตเบšเป€เบงเบต SMTP เบ›เบฐเบ•เบดเบšเบฑเบ”เบ•เบฒเบกเปƒเบšเบชเบฑเปˆเบ‡เบขเบฒเบขเปˆเบฒเบ‡เป€เบ‚เบฑเป‰เบกเบ‡เบงเบ”, เปเบ•เปˆเบญเบฑเบ™เบญเบทเปˆเบ™, เป€เบžเบทเปˆเบญเบฎเบฑเบšเบ›เบฐเบเบฑเบ™เบ„เบงเบฒเบกเป€เบ‚เบปเป‰เบฒเบเบฑเบ™เป„เบ”เป‰เบเบฑเบšเป‚เบ›เบฃเปเบเบฃเบกเบญเบตเป€เบกเบฅเปŒเบ—เบตเปˆเบซเบฒเบเบฒเบเบšเบฒเบ‡เบญเบฑเบ™, เบฅเบณเบ”เบฑเบšเบ‚เบฐเบšเบงเบ™เบเบฒเบ™เป€เบŠเบฑเปˆเบ™ โ€œ\n.\nโ€, โ€œ\n.\r\nโ€, โ€œ\rโ€ เป€เบ›เบฑเบ™เบ•เบปเบงเบ‚เบฑเป‰เบ™ \ n.\n", "\r.\r", "\r\n\0.\r\n" เปเบฅเบฐ "\r\n\0.\r\n".

เบเบฒเบ™เป‚เบˆเบกเบ•เบตเบ”เบฑเปˆเบ‡เบเปˆเบฒเบงเปเบกเปˆเบ™เบกเบฒเบˆเบฒเบเบ„เบงเบฒเบกเบˆเบดเบ‡เบ—เบตเปˆเบงเปˆเบฒเปƒเบ™เบ•เบญเบ™เบ—เบณเบญเบดเบ” server, เป€เบŠเบดเปˆเบ‡เบ›เบฐเบกเบงเบ™เบœเบปเบ™เบžเบฝเบ‡เปเบ•เปˆเบ•เบปเบงเปเบเบ "\r\n.\r\n", เบ‚เปเป‰เบ„เบงเบฒเบกเบˆเบฐเบ–เบทเบเบชเบปเปˆเบ‡เบžเป‰เบญเบกเบเบฑเบšเบ•เบปเบงเปเบเบเบ—เบฒเบ‡เป€เบฅเบทเบญเบเปƒเบ™เบ•เบปเบง, เป€เบŠเบฑเปˆเบ™ "\r.\r", เบ•เบฒเบกเบ”เป‰เบงเบเบ„เบณเบชเบฑเปˆเบ‡เปƒเบซเป‰เบชเบปเปˆเบ‡เบ‚เปเป‰เบ„เบงเบฒเบกเบ—เบตเบชเบญเบ‡. เป€เบ™เบทเปˆเบญเบ‡เบˆเบฒเบเป€เบŠเบตเบšเป€เบงเบตเบ—เบณเบญเบดเบ”เบ›เบฐเบ•เบดเบšเบฑเบ”เบ•เบฒเบกเบ‚เปเป‰เบเบณเบ™เบปเบ”เบขเปˆเบฒเบ‡เป€เบ‚เบฑเป‰เบกเบ‡เบงเบ”, เบกเบฑเบ™เบˆเบฐเบ›เบฐเบกเบงเบ™เบœเบปเบ™เบฅเบณเบ”เบฑเบšเบ—เบตเปˆเป„เบ”เป‰เบฎเบฑเบšเป€เบ›เบฑเบ™เบ‚เปเป‰เบ„เบงเบฒเบกเบ”เบฝเบง. เบ–เป‰เบฒเบ‚เปเป‰เบ„เบงเบฒเบกเบ–เบทเบเบชเบปเปˆเบ‡เบ•เปเปˆเป„เบ›เบเบฑเบ‡เป€เบŠเบตเบšเป€เบงเบตเบเบฒเบ™เบ‚เบปเบ™เบชเบปเปˆเบ‡ เบซเบผเบท เป€เบŠเบตเบšเป€เบงเบตเบ‚เบญเบ‡เบœเบนเป‰เบฎเบฑเบš, เป€เบŠเบดเปˆเบ‡เบฎเบฑเบšเบฎเบนเป‰เบฅเบณเบ”เบฑเบš "\r.\r" เป€เบ›เบฑเบ™เบ•เบปเบงเปเบเบ, เบกเบฑเบ™เบˆเบฐเบ–เบทเบเบ›เบฐเบกเบงเบ™เบœเบปเบ™เป€เบ›เบฑเบ™เบชเบญเบ‡เบ‚เปเป‰เบ„เบงเบฒเบกเบ—เบตเปˆเบชเบปเปˆเบ‡เปเบเบเบ•เปˆเบฒเบ‡เบซเบฒเบ (เบ‚เปเป‰เบ„เบงเบฒเบกเบ—เบตเบชเบญเบ‡เบญเบฒเบ”เบˆเบฐเบ–เบทเบเบชเบปเปˆเบ‡เปƒเบ™เบ™เบฒเบกเบ‚เบญเบ‡เบœเบนเป‰เปƒเบŠเป‰เบ—เบตเปˆเบšเปเปˆเป„เบ”เป‰เบฎเบฑเบšเบเบฒเบ™เบžเบดเบชเบนเบ”เบขเบทเบ™เบขเบฑเบ™เบœเปˆเบฒเบ™ "AUTH LOGIN", เปเบ•เปˆเป€เบšเบดเปˆเบ‡เบ„เบทเบงเปˆเบฒเบ–เบทเบเบ•เป‰เบญเบ‡เบชเบณเบฅเบฑเบšเบœเบนเป‰เบฎเบฑเบš).

SMTP Smuggling - เป€เบ•เบฑเบเบ™เบดเบเปƒเบซเบกเปˆเบชเปเบฒเบฅเบฑเบšเบเบฒเบ™เบซเบผเบญเบเบฅเบงเบ‡เบ‚เปเป‰เบ„เบงเบฒเบกเบญเบตเป€เบกเบง
SMTP Smuggling - เป€เบ•เบฑเบเบ™เบดเบเปƒเบซเบกเปˆเบชเปเบฒเบฅเบฑเบšเบเบฒเบ™เบซเบผเบญเบเบฅเบงเบ‡เบ‚เปเป‰เบ„เบงเบฒเบกเบญเบตเป€เบกเบง

เบ•เบปเบงเบขเปˆเบฒเบ‡เบ‚เบญเบ‡เป€เบŠเบตเบšเป€เบงเบต SMTP เปเบฅเบฐเบšเปเบฅเบดเบเบฒเบ™เบ—เบตเปˆเบญเบฐเบ™เบธเบเบฒเบ”เปƒเบซเป‰เบ•เบปเบงเปเบเบเบ—เบฒเบ‡เป€เบฅเบทเบญเบเบฅเบงเบกเบกเบต Postfix, Sendmail, MS Exchange Online เปเบฅเบฐ Cisco Secure Email Gateway, เปเบฅเบฐเปƒเบ™เบšเบฑเบ™เบ”เบฒเบšเปเบฅเบดเบเบฒเบ™เป€เบกเบฅเบ—เบตเปˆเบšเปเปˆเบเบฒเบ™เบเบฑเปˆเบ™เบ•เบญเบ‡เบ•เบปเบงเปเบเบเบ—เบตเปˆเบšเปเปˆเบ–เบทเบเบ•เป‰เบญเบ‡เบˆเบฒเบเบ•เบปเบงเบญเบฑเบเบชเบญเบ™เป€เบกเบทเปˆเบญเป€เบ‚เบปเป‰เบฒเป€เบ–เบดเบ‡เป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบเบญเบทเปˆเบ™เปเบกเปˆเบ™ GMX, iSloud เปเบฅเบฐ Microsoft Outlook.

เป€เบžเบทเปˆเบญเปเบเป‰เป„เบ‚เบšเบฑเบ™เบซเบฒเปƒเบ™ Postfix, เบเบฒเบ™เบ›เปˆเบญเบ 3.8.1, 3.7.6, 3.6.10, เปเบฅเบฐ 3.5.20 เป„เบ”เป‰เป€เบžเบตเปˆเบกเบเบฒเบ™เบ•เบฑเป‰เบ‡เบ„เปˆเบฒ "smtpd_forbid_unauth_pipelining", เป€เบŠเบดเปˆเบ‡เป€เบฎเบฑเบ”เปƒเบซเป‰เบเบฒเบ™เป€เบŠเบทเปˆเบญเบกเบ•เปเปˆเบฅเบปเป‰เบกเป€เบซเบฅเบงเบ–เป‰เบฒเบซเบฒเบเบงเปˆเบฒเบ•เบปเบงเบเปเบฒเบ™เบปเบ”เบ‚เบญเบšเป€เบ‚เบ”เบ—เบตเปˆเบšเปเปˆเบ›เบฐเบ•เบดเบšเบฑเบ”เบ•เบฒเบก RFC 2920 เปเบฅเบฐ RFC 5321 เปเบกเปˆเบ™. เปƒเบŠเป‰เปเบฅเป‰เบง. เบเบฒเบ™เบ•เบฑเป‰เบ‡เบ„เปˆเบฒเบ™เบตเป‰เบ–เบทเบเบ›เบดเบ”เปƒเบŠเป‰เบ‡เบฒเบ™เป‚เบ”เบเบ„เปˆเบฒเป€เบฅเบตเปˆเบกเบ•เบปเป‰เบ™, เปเบ•เปˆเบžเบงเบเป€เบ‚เบปเบฒเบงเบฒเบ‡เปเบœเบ™เบ—เบตเปˆเบˆเบฐเป€เบ›เบตเบ”เปƒเบŠเป‰เบกเบฑเบ™เบ•เบฒเบกเบ„เปˆเบฒเป€เบฅเบตเปˆเบกเบ•เบปเป‰เบ™เปƒเบ™เบชเบฒเบ‚เบฒ Postfix 3.9, เป€เบŠเบดเปˆเบ‡เบ„เบฒเบ”เบงเปˆเบฒเบˆเบฐเบกเบตเปƒเบ™เบžเบฒเบเบฎเบฝเบ™ spring เบ‚เบญเบ‡ 2024. เบชเบฒเบ‚เบฒ 3.9 เบเบฑเบ‡เบˆเบฐเบฅเบงเบกเป€เบญเบปเบฒเบเบฒเบ™เบ•เบฑเป‰เบ‡เบ„เปˆเบฒ smtpd_forbid_bare_newline, เป€เบŠเบดเปˆเบ‡เบˆเบฐเบ–เบดเป‰เบกเบ„เบงเบฒเบกเบœเบดเบ”เบžเบฒเบ”เป€เบกเบทเปˆเบญเปƒเบŠเป‰เบžเบฝเบ‡เปเบ•เปˆเบ•เบปเบงเบญเบฑเบเบชเบญเบ™เปเบ–เบงเปƒเปเปˆ (โ€œ\nโ€) เป€เบžเบทเปˆเบญเปเบเบเปเบ–เบง, เป€เบŠเบดเปˆเบ‡เบฅเบฐเป€เบกเบตเบ” RFC 5321.

เบเบฒเบ™เป€เบ›เบตเบ”เบ•เบปเบงเบ‚เบญเบ‡ Sendmail 8.18.0.2 เบ—เบตเปˆเบˆเบฐเบกเบฒเป€เบ–เบดเบ‡เปƒเบซเป‰เบ—เบฒเบ‡เป€เบฅเบทเบญเบ 'o' เป€เบžเบทเปˆเบญเบ›เป‰เบญเบ‡เบเบฑเบ™เบเบฒเบ™เป‚เบˆเบกเบ•เบตเปƒเบ™ srv_features, เป€เบŠเบดเปˆเบ‡เป€เบฎเบฑเบ”เปƒเบซเป‰เบเบฒเบ™เบ›เบฐเบกเบงเบ™เบœเบปเบ™เบžเบฝเบ‡เปเบ•เปˆเบฅเปเบฒเบ”เบฑเบš "\r\n.\r\n". เบกเบฑเบ™เป„เบ”เป‰เบ–เบทเบเบชเบฑเบ‡เป€เบเบ”เป€เบซเบฑเบ™เบงเปˆเบฒเบเบฒเบ™เบ›เบดเบ”เบเบฒเบ™เบชเบฐเบซเบ™เบฑเบšเบชเบฐเบซเบ™เบนเบ™เบชเปเบฒเบฅเบฑเบšเบ•เบปเบงเบเปเบฒเบ™เบปเบ”เบ—เบฒเบ‡เป€เบฅเบทเบญเบเบญเบฒเบ”เบˆเบฐเบ—เปเบฒเบฅเบฒเบเบเบฒเบ™เบ”เปเบฒเป€เบ™เบตเบ™เบ‡เบฒเบ™เบ‚เบญเบ‡เบšเบฒเบ‡เบฅเบนเบเบ„เป‰เบฒเบญเบตเป€เบกเบงเบ—เบตเปˆเบซเบฒเบเบฒเบเบ—เบตเปˆเบšเปเปˆเบ›เบฐเบ•เบดเบšเบฑเบ”เบ•เบฒเบกเบ‚เปเป‰เบเปเบฒเบ™เบปเบ”เบ‚เบญเบ‡ SMTP เบขเปˆเบฒเบ‡เบชเบปเบกเบšเบนเบ™.

เปเบซเบผเปˆเบ‡เบ‚เปเป‰เบกเบนเบ™: opennet.ru

เบŠเบทเป‰เป‚เบฎเบ”เบ•เบดเป‰เบ‡เบ—เบตเปˆเป€เบŠเบทเปˆเบญเบ–เบทเป„เบ”เป‰เบชเปเบฒเบฅเบฑเบšเป€เบงเบฑเบšเป„เบŠเบ—เปŒเบ—เบตเปˆเบกเบตเบเบฒเบ™เบ›เบปเบเบ›เป‰เบญเบ‡ DDoS, เป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบ VPS VDS ๐Ÿ”ฅ เบŠเบทเป‰เป€เบงเบฑเบšเป„เบŠเบ—เปŒเป‚เบฎเบ”เบ•เบดเป‰เบ‡เบ—เบตเปˆเป€เบŠเบทเปˆเบญเบ–เบทเป„เบ”เป‰เบ”เป‰เบงเบเบเบฒเบ™เบ›เป‰เบญเบ‡เบเบฑเบ™ DDoS, เป€เบŠเบตเบšเป€เบงเบต VPS VDS | ProHoster