© Askolds Berovskis / 123RF.com

Exim, einer der am weitesten verbreiteten Mail-Transfer-Agenten auf unixoiden Systemen, ist ein bedeutender Teil der E-Mail-Infrastruktur des Internets. Durch eine Schwachstelle können entfernte Angreifer fehlerhafte Exim-Installationen mit SMTP-Smuggling-Attacken angreifen.

Die weite Verbreitung von Exim erfordert ständige Überwachung und schnelle Reaktionen auf etwaige Sicherheitslücken. Kürzlich wurde Exim 4.98 veröffentlicht [1], das unter anderem eine kritische SMTP-Sicherheitslücke behebt und notwendige Updates für die DKIM-Verarbeitung und die SMTP-Sicherheit implementiert. Das Simple Mail Transfer Protocol, ein Standardprotokoll zum Senden und Empfangen von E-Mails, regelt die Kommunikation zwischen Mail-Servern und dient primär für den Versand von E-Mails zwischen Clients und Servern oder zwischen MTAs.

Die E-Mail-Authentifizierungsmethode DKIM (DomainKeys Identified Mail) stellt sicher, dass E-Mails von der angegebenen Domain stammen und nicht unterwegs verändert wurden. Der Mailserver erstellt beim Senden einer E-Mail mit einem privaten Schlüssel eine digitale Signatur und fügt sie in den Header ein. Den zugehörigen öffentlichen Schlüssel veröffentlicht der Betreiber des sendenden MTAs im DNS der Absender-Domain. Der empfangende MTA nutzt diesen öffentlichen Schlüssel, um die Signatur zu überprüfen. E-Mails mit einer gültigen Signatur gelten als authentisch und unverändert.

Entfernte Angreifer können durch die kritische SMTP-Schwachstelle SMTP-Smuggling-Attacken ausführen, um bösartige Befehle in E-Mail-Inhalte einzuschleusen. Eine SMTP-Smuggling-Attacke nutzt Schwachstellen in SMTP aus, um Sicherheitsmechanismen zu umgehen. Im konkreten Fall kann das zu unbefugtem Zugriff auf das System oder zur Störung des Diensts führen. Des Weiteren treten eventuell Probleme bei DKIM-signierten E-Mails auf. Das wiederum führt unter Umständen dazu, dass die Angreifer Systeme als Spam-Versender oder Botnets verwenden, was nicht nur die Netzwerkintegrität beeinträchtigt, sondern auch die Serverleistung.

Die kritische SMTP-Schwachstelle entsteht durch ein fehlerhaftes Parsen eines mehrzeiligen RFC-2231-Header-Dateinamens (MIME Parameter Value and Encoded Word Extensions). Der Internet-Standard MIME (Multipurpose Internet Mail Extensions) ermöglicht es, verschiedene Dateitypen wie Text, Bilder, Audio und Video in E-Mails zu versenden. Es erweitert die ursprünglichen E-Mail-Beschränkungen, die nur ASCII-Text zulassen, und ermöglicht Anhänge sowie formatierten Text.

MIME verwendet Header wie »Content-Type« und »Content-Transfer-Encoding«, um den Dateityp und die Kodierung zu spezifizieren. Die fragliche Exim-Nachlässigkeit bei der Verarbeitung ermöglicht es Angreifern, Mechanismen zur Blockierung von Dateinamenserweiterungen zu umgehen, die verhindern sollen, dass ausführbare Dateien die Posteingänge erreichen. Auf diese Weise lassen sich schädliche ausführbare Anhänge übermitteln, die Benutzer dann möglicherweise unwissentlich herunterladen und ausführen.

Exim 4.98 schließt diese Sicherheitslücke und bringt obendrein signifikante Verbesserungen. Es lehnt bestimmte Eingaben ab, um mögliche Ausnutzungspfade zu sperren. Durch das Auflisten der Ergebnisse innerhalb der Bedingung »dkim_status« schätzt der empfangende Server weniger E-Mails fälschlicherweise als riskant ein. Statt Fehler einfach nur zu protokollieren, antwortet Exim jetzt mit temporären Ablehnungen und löscht bei bestimmten Fehlern Spool-Dateien. Diese Anpassungen gewährleisten den schnellen und zuverlässigen Versand sicherer E-Mails und umgehen früher dabei bestehende Probleme mit Load Balancern. (jcb)