Scheinverschlüsselung: Fedora-Update deckt uralte Security-Panne bei Outlook auf
Der Linux-Experte Marius Schwarz hat nach einem Upgrade auf Fedora 43 eine kuriose Entdeckung gemacht, die so manche Outlook-Nutzer verärgern dürfte. Wie Schwarz in einem Blogbeitrag(öffnet im neuen Fenster) sowie beim Fedora Magazine(öffnet im neuen Fenster) schreibt, hat Microsofts E-Mail-Programm offenbar jahrelang unverschlüsselt Authentifizierungsdaten übertragen, obwohl Anwender die Verschlüsselung per SSL/TLS explizit aktiviert hatten.
Aufgefallen ist das laut Schwarz nach einem Update auf Fedora 43 sowie einer damit einhergehenden(öffnet im neuen Fenster) Aktualisierung der Mailserver-Software Dovecot auf Version 2.4.3. Die E-Mail-Software akzeptierte daraufhin keine Zugangsdaten mehr, die über eine unsichere Verbindung im Klartext übertragen wurden.
In der Folge meldeten sich zahlreiche Outlook-Nutzer bei Schwarz, die bei dem Versuch, ihre Mails über das POP3-Protokoll abzurufen, allesamt Fehlermeldungen erhielten. Diese wiesen auf die fehlende Verschlüsselung der Anmeldedaten sowie die damit begründete Zurückweisung des E-Mail-Servers hin, obwohl in den Servereinstellungen von Outlook die Übertragung mittels SSL/TLS aktiviert war.
Outlook räumt dem Port wohl Priorität ein
Das Problem war offenbar, dass die betroffenen Nutzer trotz der aktiven SSL/TLS-Option den Port 110 ausgewählt hatten. Das ist zwar der Standardport für POP3, jedoch werden die Daten darüber in der Regel unverschlüsselt übertragen.
Für SSL hätte stattdessen der Port 995 (POP3S(öffnet im neuen Fenster)) ausgewählt werden müssen. Statt aber die Anwender auf diese Diskrepanz hinzuweisen, zog Outlook es offenbar vor, die Daten trotz gewählter SSL/TLS-Option einfach unverschlüsselt zu übermitteln.
Ob Microsoft das Problem bei neueren Outlook-Versionen bereits behoben hat, ist unklar. Schwarz gab an, dies mangels Zugriff auf die Software nicht selber testen zu können. Er habe aber Meldungen Betroffener erhalten, die verschiedene Outlook-Versionen ab dem Jahrgang 2007 aufwärts im Einsatz hatten. Auch eine alte Outlook-Variante für MacOS sei dabei gewesen sein.
Der Bug besteht also schon seit gut 20 Jahren und wäre laut Schwarz "nie aufgefallen, wenn Dovecot nicht was dagegen gehabt hätte". Er sieht den Fehler auch im Hinblick auf die Pflichten von Organisationen im Rahmen der DSGVO als sehr problematisch an.
Viele hätten sich darauf verlassen, dass ein aktiviertes SSL/TLS auch eine verschlüsselte Verbindung bedeute. Und eine unverschlüsselte Übertragung kann bekanntlich rechtliche Probleme sowie unangenehme Datenpannen nach sich ziehen.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.