Mailserver

Starttls führt eingeschleuste Befehle aus

Beim Aufbau einer verschlüsselten Verbindung per Starttls kann ein Angreifer Befehle einschleusen. Betroffen sind unter anderem Mailsysteme von Kerio, Ipswitch, Postfix oder Qmail-TLS.

Artikel veröffentlicht am ,

Die Lücke in Starttls kann für einen Man-in-the-Middle-Angriff genutzt werden, um während des Verbindungsaufbaus Befehle im Klartext einzuschleusen. Die Befehle werden allerdings erst ausgeführt, nachdem die Verbindung aufgebaut wurde. Das sei das Besondere an der Sicherheitslücke, schreibt Entdecker Wietse Venema.

Stellenmarkt
  1. SAP Solution Architect Job (m/w/x)
    über duerenhoff GmbH, Raum München
  2. Data Engineer (m/f/d)
    Schaeffler Technologies AG & Co. KG, Nürnberg
Detailsuche

Ein Angreifer könne während einer ungeschützten Phase Befehle in eine SMTP-Sitzung einschleusen. Auf dem Server können die Kommandos dazu genutzt werden, Benutzernamen und Passwörter zu entwenden. Laut Venema ist nicht nur das Protokoll für den Mailversand SMTP betroffen, sondern auch die weiteren Mailprotokolle POP3, IMAP sowie das Usenet-Protokoll NNTP und das Dateitransferprotokoll FTP.

Das Problem sei zudem deshalb zweitrangig, weil die meisten SMTP-Client-Anwendungen ohnehin die TLS-Zertifikate auf dem Server nicht authentifizieren. Sie seien immer gegen Angriffe über das Einschleusen von Befehlen anfällig. Diese TLS-Sitzungen sind zwar verschlüsselt, aber nicht gesichert.

Laut US-CERT ist die Sicherheitslücke zunächst in den Mailsystemen von Kerio, Ipswitch, Qmail und anderen entdeckt worden. Lediglich Produkte von Novell und Palo Alto Networks sind bislang nicht betroffen. Venema, der gleichzeitig den Mailserver Postfix entwickelt, sagte, dass der Fehler in den Versionen 2.7.3, 2.6.9, 2.5.12 und 2.4.16 behoben worden ist. Postfix 2.8 und 2.9 sind nicht betroffen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Krille 09. Mär 2011

Menno - ich musste direkt was arbeiten: # emerge postfix ... # /etc/init.d/postfix...

jayrworthington 08. Mär 2011

Argh. Na ok, Dan ist rehabilitiert, auch wenn mir dann auch langsam klar wird warum der...



Aktuell auf der Startseite von Golem.de
Heimkino und Hi-Fi
Onkyo meldet Konkurs an

Onkyo hat beim Bezirksgericht Osaka Konkurs angemeldet. Ob das überschuldete Unternehmen gerettet werden kann, ist ungewiss.

Heimkino und Hi-Fi: Onkyo meldet Konkurs an
Artikel
  1. Unterkunftvermietung: Airbnb bekommt nach Homeoffice-Ankündigung viele Bewerbungen
    Unterkunftvermietung
    Airbnb bekommt nach Homeoffice-Ankündigung viele Bewerbungen

    Airbnb erlaubt es seinen Angestellten, im Homeoffice zu bleiben. Das Interesse an Jobs in dem Unternehmen ist binnen kurzer Zeit angestiegen.

  2. Flughafen BER: Drohne über Teslas Gigafactory behindert Flugverkehr
    Flughafen BER
    Drohne über Teslas Gigafactory behindert Flugverkehr

    Über dem Gelände der Gigafactory Berlin ist es zu einem Zwischenfall mit einer Drohne und einem Passagierflugzeug gekommen.

  3. Bundesländer: Umweltminister einig über Autobahn-Tempolimit
    Bundesländer
    Umweltminister einig über Autobahn-Tempolimit

    Die Landesumweltminister der Bundesländer haben sich einstimmig für ein Tempolimit auf Autobahnen ausgesprochen. Was fehlt, ist dessen Höhe.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Cyber Week: Bis zu 46% Rabatt auf Mäuse & Tastaturen • Grafikkarten günstig wie nie (u. a. Palit RTX 3080 Ti 12GB 1.285€) • Bosch Professional Elektrowerkzeug bis zu 53% günstiger • Jubiläumsangebote bei MediaMarkt • MSI Optix MAG342CQR ab 389,90€ • MindStar (u. a. AMD Ryzen 7 5700X 269€, AMD Ryzen 9 5950X 509€ und LC-Power LC-M35-UWQHD-120-C 339€) [Werbung]
    •  /