Abo
  • IT-Karriere:

Sicherheitslücke in Mailclients: E-Mails versenden als potus@whitehouse.gov

Ein Request for Comments aus dem Jahr 1992 ermöglicht einen Angriff auf fast alle Mailclients. So lassen sich glaubhaft aussehende E-Mails mit beliebiger Absenderadresse verschicken.

Artikel von veröffentlicht am
Fast alle modernen Mailclients können mit dieser Methode ausgetrickst werden.
Fast alle modernen Mailclients können mit dieser Methode ausgetrickst werden. (Bild: Sabri Haddouche)

Eine Sicherheitslücke in zahlreichen Mailclients ermöglicht es Angreifern, E-Mails mit beliebiger Absenderadresse zu verschicken. Bekannte Sicherungsmaßnahmen wie SPF und DKIM greifen nicht, weil der Angriff auf dem Client selbst stattfindet. Der Fehler liegt auch in dem RFC-1342 aus dem Jahr 1992. Zahlreiche Patches wurden bereits veröffentlicht, die ersten Hersteller wurden nach Aussagen des Sicherheitsforschers Sabri Haddouche bereits vor fünf Monaten informiert.

Stellenmarkt
  1. operational services GmbH & Co. KG, Braunschweig
  2. Stadtverwaltung Kaiserslautern, Kaiserslautern

Die Sicherheitslücke mit dem Namen Mailsploit lässt sich in E-Mail-Clients wie Thunderbird oder Apple-Mail ausnutzen, von den bekannten Anbietern ist einer allerdings nicht betroffen: Googles Gmail-Webclient. Angreifer können ausnutzen, dass der RFC-1342 eine Möglichkeit beschreibt, Nicht-ASCII-Zeichen so in E-Mail-Headern unterzubringen, dass der Mail-Transfer-Agent nicht in seiner Funktion beeinträchtigt wird.

En Angreifer gibt in Apple Mail zunächst den String "From: =?utf-8?b?${base64_encode('potus@whitehouse.gov')}?==?utf-8?Q?=00?==?utf-8?b?${base64_encode('(potus@whitehouse.gov)')}?=@mailsploit.com" in das Absenderfeld ein. Dieser Ausdruck wird von der Mail-App zu "From: potus@whitehouse.gov\0(potus@whitehouse.gov)@mailsploit.com" decodiert.

Absender wird nur im erweiterten Header korrekt angezeigt

Als Absender wird dem Nutzer im Client dann nur potus@whitehouse.gov angezeigt. Das liegt daran, dass der Mailclient in iOS nach Angaben von Haddouche alle Eingaben nach dem Null-Byte ignoriert beziehungsweise unter MacOS gar nicht erst parsed. Schauen Nutzer im detaillierten Header nach, fällt der Betrug allerdings auf. Auffallen würde der Betrug auch, wenn Nutzer auf "Antworten" klicken - hier kann aber einfach ein Reply-to-Kommando eingefügt werden. Bei anderen Mailclients kann das Verhalten leicht abweichen und möglicherweise Hinweise auf den versuchten Betrug geben.

Bei dem so dargestellten Betrug wird nicht der Mailserver selbst angegriffen, sondern der Client. Damit werden Sicherungsmaßnahmen wie das Sender Policy Framework (SPF) und Domainkeys Identified Mail (DKIM) nicht aktiv. Dabei soll ein TXT-Record beziehungsweise ein hinterlegter Public-Key auf dem Mailserver verhindern, dass nichtautorisierte Server im Namen der Domain E-Mails versenden.

Mozilla und Opera wollen den Bug nach Angaben von Haddouche nicht schließen, Apple hat bislang noch keinen Patch freigegeben. Nicht betroffen von dem Bug sind die Microsoft-Produkte Outlook Web, Exchange 360 und Office 365. Auch Gmail, Fastmail und GMX, Mail.com und 1&1 Mail sollen nicht verwundbar sein. Eine nach Angaben von Haddouche nicht zwangsläufig abschließende Liste verwundbarer Clients findet sich in diesem Google Doc. Haddouche sagte Golem.de: "Ich danke allen Herstellern, die umgehend auf die Berichte reagiert haben - und ihre Nutzer schützen. Leider haben nicht alle so gehandelt."

Haddouche arbeitet für das in Berlin ansässige Unternehmen Wire im Sicherheitsteam. Wire entwickelt einen verschlüsselten Instant-Messenger mit Businessfunktionen und steht damit durchaus auch in Konkurrenz zu etablierten Mailanbietern.



Anzeige
Spiele-Angebote
  1. (-67%) 3,30€
  2. 69,99€ (Release am 21. Februar 2020, mit Vorbesteller-Preisgarantie)
  3. 3,99€
  4. 4,99€

hjp 05. Dez 2017

Die aktuelle Version (seit 1996!) ist RFC 2047. Ich muss also nicht in RFC 1342...

Berlinlowa 05. Dez 2017

Mein GMX Webmail Client ist verwundbar mit der traditionellen Variante 5. Dort steht...

gumnade 05. Dez 2017

Schade, da komme ich mit S/MIME nicht weit ... Aber es wäre wirklich eine sehr effiziente...

Schnuffel 05. Dez 2017

Mutt ist sowieso der beste MUA (für mich).

Askaaron 05. Dez 2017

Zitat: Ein Angreifer gibt in Apple Mail zunächst den String "From: =?utf-8?b...


Folgen Sie uns
       


LG G8x Thinq - Hands on

Das G8x Thinq von LG kann mit einer speziellen Hülle verwendet werden, die dem Smartphone einen zweiten Bildschirm hinzufügt. Golem.de hat sich das Gespann in einem ersten Kurztest angeschaut.

LG G8x Thinq - Hands on Video aufrufen
Alexa: Das allgegenwärtige Ohr Amazons
Alexa
Das allgegenwärtige Ohr Amazons

Die kürzlich angekündigten Echo-Produkte bringen Amazons Sprachassistentin Alexa auf die Straße und damit Datenschutzprobleme in die U-Bahn oder in bisher Alexa-freie Wohnzimmer. Mehrere Landesdatenschutzbeauftragte haben Golem.de erklärt, ob und wie die Geräte eingesetzt werden dürfen.
Von Moritz Tremmel

  1. Digitaler Assistent Amazon bringt neue Funktionen für Alexa
  2. Echo Frames und Echo Loop Amazon zeigt eine Brille und einen Ring mit Alexa
  3. Alexa Answers Nutzer smarter Lautsprecher sollen Alexa Wissen beibringen

Atari Portfolio im Retrotest: Endlich können wir unterwegs arbeiten!
Atari Portfolio im Retrotest
Endlich können wir unterwegs arbeiten!

Ende der 1980er Jahre waren tragbare PCs nicht gerade handlich, der Portfolio von Atari war eine willkommene Ausnahme: Der erste Palmtop-Computer der Welt war klein, leicht und weitestgehend DOS-kompatibel - ideal für Geschäftsreisende aus dem Jahr 1989 und Nerds aus dem Jahr 2019.
Ein Test von Tobias Költzsch

  1. Retrokonsole Hauptverantwortlicher des Atari VCS schmeißt hin

Cyberangriffe: Attribution ist wie ein Indizienprozess
Cyberangriffe
Attribution ist wie ein Indizienprozess

Russland hat den Bundestag gehackt! China wollte die Bayer AG ausspionieren! Bei großen Hackerangriffen ist oft der Fingerzeig auf den mutmaßlichen Täter nicht weit. Knallharte Beweise dafür gibt es selten, Hinweise sind aber kaum zu vermeiden.
Von Anna Biselli

  1. Double Dragon APT41 soll für Staat und eigenen Geldbeutel hacken
  2. Internet of Things Neue Angriffe der Hackergruppe Fancy Bear
  3. IT-Security Hoodie-Klischeebilder sollen durch Wettbewerb verschwinden

    •  /