Eine vielzahl an E-Mail-Clients und -Server verwenden das Simple Mail Transfer Protocol (SMTP), um Nachrichten einzuliefern, sei es an lokale oder entfernte Empfänger. Server, die für den Transport zuständig sind, nutzen es untereinander. SMTP ist sehr alt und wurde niemals grundlegend überarbeitet. So sind viele heutige lästige E-Mail-Probleme wie Spam oder Phishing darauf zurückzuführen.

Im Juni 2023 entdeckten Forscher von SEC Consult, dass sie mit geringfügig variierten Eingabedaten E-Mail-Absender fälschen und sich so zum Beispiel gegenüber Benutzern als Admin ausgeben konnten. Diese Eigenschaft wurde von den Forschern als "SMTP smuggling" genannt. Unter "idealen" Umständen versagen SPF, DKIM und DMARC, die mit Absichtserklärungen, Signaturen und Header-Prüfungen soetwas erkennen sollten.

Die Forscher haben im Rahmen einer vertrauensvollen Offenlegung (responsible disclosure) ihre Entdeckung Ende Juli mit Microsoft, Cisco und GMX geteilt. Ungefähr zwei Wochen später hat GMX reagiert und das Problem auf seinen Servern abgestellt. Microsoft benötigte über zwei Monate, um auf Exchange Online die Manipulationsmöglichkeit zu schließen. Laut den Sicherheitsforschern lässt sich das Cisco Secure Email Gateway, das vielfach zum Einsatz kommt, bis heute nur durch manuelle Eingriffe gegen die Schmuggelattacke härten.

Zwischenzeitlich gibt es für freie Projekte wie Postfix Hinweise, die Betreiber von E-Mail-Servern umsetzen können. Es gitb beim E-Mailsever Postfix Informationen zu einem Workaround und zu den Patches.

(ts, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE