Banner pašování SMTP
Před pár dny, Odhalili výzkumníci SEC Consult, prostřednictvím příspěvku na blogu, informace o nová technika útoku zvaná SMTP pašování, který může umožnit odesílání falešných e-mailů, které obcházejí autentizační mechanismy.
Je zmíněno, že technika útoku cílí na protokol SMTP, ve kterém může útočník zneužít rozdíly ve způsobu, jakým odchozí a příchozí SMTP servery interpretují sekvenci označující konec dat zprávy.
O pašování SMTP
SMTP pašování je nová technika, která umožňuje rozdělit zprávu na několik různých zpráv při přenosu SMTP serverem originál na jiný server SMTP, který interpretuje sekvenci odlišně pro samostatná písmena přenášená přes spojení.
toto umožňuje vkládání příkazů SMTP do e-mailových zpráv způsobem, díky kterému s nimi přijímající servery zacházejí jako se dvěma samostatnými zprávami, z nichž jedna má nějaké záhlaví: „To: recipient@domain.com“, „From: sender@domain.com“, „Subject: Example subject “, následuje podle skutečného těla zprávy.
Navíc, protože obálka hlavní zprávy úspěšně prošla bezpečnostními kontrolami, jako jsou SPF, DKIM a DMARC, je padělaná zpráva doručena do doručených zpráv bez varování.
„SMTP Smuggling je nová technika e-mailového spoofingu, která útočníkům umožňuje odesílat e-maily s falešnými adresami odesílatele (např. ceo@microsoft.com), aby se vydávali za někoho jiného,“ říká Longin Dark Reading. "V e-mailové infrastruktuře obvykle existují určitá zmírnění, která omezují takové útoky, ale s novým přístupem bude doručen podvržený e-mail."
Nový útok, zvaný SMTP pašování, Vymyslel ho Timo Longin, senior bezpečnostní konzultant ve společnosti SEC Consult. Longin vypůjčil si hlavní koncept z další třída útoků známá jako pašování požadavků HTTP, kde útočníci oklamou front-end load balancer nebo reverzní proxy, aby přeposílal specificky vytvořené požadavky na back-end aplikační server způsobem, kdy je back-end koncového serveru zpracuje jako dva samostatné požadavky namísto jednoho .
Na základě toho SMTP pašování využívá skutečnosti, že servery SMTP interpretují konec datového toku odlišně, což může způsobit rozdělení jednoho písmene na několik v rámci stejné relace na serveru SMTP.
Tato posloupnost mohou být následovány příkazy pro odeslání další zprávy bez přerušení spojení. Některé servery SMTP přísně dodržují tento předpis, jiné však kvůli zajištění kompatibility s některými neobvyklými e-mailovými klienty.
Útok se scvrkává na skutečnost, že na první server je odeslán dopis, který zpracovává pouze oddělovač "\r\n.\r\n", v jehož těle je alternativní oddělovač, například "\ r.\r » následované příkazy, které odešlou druhou zprávu. Protože první server přesně dodržuje specifikaci, zpracuje přijatý řetězec jako jedno písmeno.
Pokud je pak dopis odeslán na tranzitní server nebo server příjemce, který také akceptuje sekvenci "\r.\r" jako oddělovač, bude zpracován jako dva dopisy odeslané samostatně (druhý dopis lze odeslat jménem uživatel není ověřen pomocí „AUTH LOGIN“, ale na straně příjemce se zobrazuje správně).
Je to zmíněno Problém již byl vyřešen v nejnovějších verzích Postfixu ve kterém je konfigurace «smtpd_forbid_unauth_pipelining", což způsobí selhání připojení, pokud oddělovače nevyhovují RFC 2920 a RFC 5321. Toto nastavení je ve výchozím nastavení zakázáno, ale plánují jej ve výchozím nastavení povolit ve větvi Postfixu 3.9, která se očekává v roce 2024.
Navíc byla přidána konfigurace smtpd_forbid_bare_newline, ve výchozím nastavení zakázáno, což zakazuje použití znaku pro odřádkování ("\n") k oddělení řádků bez návratu. Také přidán parametr smtpd_forbid_bare_newline_exclusions, který umožňuje zakázat omezení podpory "\n" pro klienty v místní síti.
Na straně Sendmail poskytuje možnost 'nebo' k ochraně před útoky v srv_features, která umožňuje zpracování pouze sekvence "\r\n.\r\n".
Konečně pokud máte zájem o tom vědět více, můžete zkontrolovat podrobnosti Na následujícím odkazu.