• IT-Karriere:
  • Services:

Mailserver

Starttls führt eingeschleuste Befehle aus

Beim Aufbau einer verschlüsselten Verbindung per Starttls kann ein Angreifer Befehle einschleusen. Betroffen sind unter anderem Mailsysteme von Kerio, Ipswitch, Postfix oder Qmail-TLS.

Artikel veröffentlicht am ,

Die Lücke in Starttls kann für einen Man-in-the-Middle-Angriff genutzt werden, um während des Verbindungsaufbaus Befehle im Klartext einzuschleusen. Die Befehle werden allerdings erst ausgeführt, nachdem die Verbindung aufgebaut wurde. Das sei das Besondere an der Sicherheitslücke, schreibt Entdecker Wietse Venema.

Stellenmarkt
  1. Schaeffler Technologies AG & Co. KG, Herzogenaurach
  2. Dataport, Altenholz bei Kiel, Bremen, Hamburg, Magdeburg

Ein Angreifer könne während einer ungeschützten Phase Befehle in eine SMTP-Sitzung einschleusen. Auf dem Server können die Kommandos dazu genutzt werden, Benutzernamen und Passwörter zu entwenden. Laut Venema ist nicht nur das Protokoll für den Mailversand SMTP betroffen, sondern auch die weiteren Mailprotokolle POP3, IMAP sowie das Usenet-Protokoll NNTP und das Dateitransferprotokoll FTP.

Das Problem sei zudem deshalb zweitrangig, weil die meisten SMTP-Client-Anwendungen ohnehin die TLS-Zertifikate auf dem Server nicht authentifizieren. Sie seien immer gegen Angriffe über das Einschleusen von Befehlen anfällig. Diese TLS-Sitzungen sind zwar verschlüsselt, aber nicht gesichert.

Laut US-CERT ist die Sicherheitslücke zunächst in den Mailsystemen von Kerio, Ipswitch, Qmail und anderen entdeckt worden. Lediglich Produkte von Novell und Palo Alto Networks sind bislang nicht betroffen. Venema, der gleichzeitig den Mailserver Postfix entwickelt, sagte, dass der Fehler in den Versionen 2.7.3, 2.6.9, 2.5.12 und 2.4.16 behoben worden ist. Postfix 2.8 und 2.9 sind nicht betroffen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote

Krille 09. Mär 2011

Menno - ich musste direkt was arbeiten: # emerge postfix ... # /etc/init.d/postfix...

jayrworthington 08. Mär 2011

Argh. Na ok, Dan ist rehabilitiert, auch wenn mir dann auch langsam klar wird warum der...


Folgen Sie uns
       


Atari Portfolio angesehen

Der Atari Portfolio war einer der ersten Palmtop-Computer der Welt - und ist auch 30 Jahre später noch ein interessanter Teil der Computergeschichte. Golem.de hat sich den Mini-PC im Retrotest angeschaut.

Atari Portfolio angesehen Video aufrufen
Weltraumsimulation: Die Star-Citizen-Euphorie ist ansteckend
Weltraumsimulation
Die Star-Citizen-Euphorie ist ansteckend

Jubelnde Massen, ehrliche Entwickler und ein 30 Kilogramm schweres Modell des Javelin-Zerstörers: Die Citizencon 2949 hat gezeigt, wie sehr die Community ihr Star Citizen liebt. Auf der anderen Seite reden Entwickler Klartext, statt Marketing-Floskeln zum Besten zu geben. Das steckt an.
Ein IMHO von Oliver Nickel

  1. Theatres of War angespielt Star Citizen wird zu Battlefield mit Raumschiffen
  2. Star Citizen Mit der Carrack ins neue Sonnensystem
  3. Star Citizen Squadron 42 wird noch einmal verschoben

Sendmail: Software aus der digitalen Steinzeit
Sendmail
Software aus der digitalen Steinzeit

Ein nichtöffentliches CVS-Repository, FTP-Downloads, defekte Links, Diskussionen übers Usenet: Der Mailserver Sendmail zeigt alle Anzeichen eines problematischen und in der Vergangenheit stehengebliebenen Softwareprojekts.
Eine Analyse von Hanno Böck

  1. Überwachung Tutanota musste E-Mails vor der Verschlüsselung ausleiten
  2. Buffer Overflow Exim-Sicherheitslücke beim Verarbeiten von TLS-Namen
  3. Sicherheitslücke Buffer Overflow in Dovecot-Mailserver

Radeon RX 5500 (4GB) im Test: AMDs beste 200-Euro-Karte seit Jahren
Radeon RX 5500 (4GB) im Test
AMDs beste 200-Euro-Karte seit Jahren

Mit der Radeon RX 5500 hat AMD endlich wieder eine sparsame und moderne Mittelklasse-Grafikkarte im Angebot. Verglichen mit Nvidias Geforce GTX 1650 Super reicht es zum Patt - aber nicht in allen Bereichen.
Ein Test von Marc Sauter

  1. Workstation-Grafikkarte AMDs Radeon Pro W5700 hat USB-C-Anschluss
  2. Navi-Grafikeinheit Apple bekommt Vollausbau und AMD bringt RX 5300M
  3. Navi-14-Grafikkarte AMD stellt Radeon RX 5500 vor

    •  /