In Bezug auf die in “SMTP Smuggling – Spoofing E-Mails Worldwide” besprochenen Schwachstellen gibt es unserer Einschätzung nach zwei Arten von Schwachstellen, die bei diesem Angriff eine Rolle spielen:
– Typ S – ein MTA akzeptiert fälschlicherweise Sequenzen, die CRLF.CRLF (z. B. LF.CRLF) ähneln, als legitimen Weg, einen SMTP-DATA-Status zu beenden.
– Typ T – ein MTA erlaubt den Versand von Nachrichten, die Sequenzen enthalten, die CRLF.CRLF ähneln.
MTAs vom Typ T können verwendet werden, um Sitzungsschmuggel zu erleichtern. MTAs vom Typ S ermöglichen Sitzungsschmuggel/Absenderspoofing.
Axigen erlaubt keinen Schmuggel (Typ S MTA) – es ist sehr streng mit der CRLF.CRLF-Sequenz, und wenn ein Client-MTA versucht, Sequenzen wie “LF.CRLF” zu verwenden, beendet Axigen den DATA-Status nicht.
In der Standardkonfiguration erlaubt Axigen die Übertragung von Sequenzen, die CRLF.CRLF ähneln (Typ T MTA)
Dies ermöglicht es einem Benutzer, der über eine authentifizierte SMTP-Sitzung verfügt, sich als ein anderer Benutzer aus derselben Domäne auszugeben (zu fälschen), wenn der Zielserver ein MTA vom Typ S ist.
Axigen kann jedoch über einen SMTP-Filter konfiguriert werden, indem die Aktion namens RFC Break auf bodycrlfcorrection gesetzt wird. In diesem Fall wird eine Sequenz vom Typ “LF.CFLF” in “CRLF.CRLF” umgewandelt.
Die Regel kann im Webadmin unter Sicherheit & Filterung -> Akzeptanz & Routing -> Erweiterte Einstellungen eingerichtet werden:
– Geben Sie einen aussagekräftigen Regelnamen ein
– lassen Sie den Abschnitt Bedingungen leer
– Wählen Sie im Abschnitt Aktionen -> Einstellungen -> RFC-Unterbrechung -> Aktion hinzufügen, und setzen Sie die RFC-Unterbrechung auf “Body CR-LF correction”.