Die Sicherheitsforscherinnen und -forscher von SEC Consult haben eine Schwachstelle im Simple Mail Transfer Protocol (SMTP) identifiziert und sie als “SMTP Smuggling” bezeichnet. Durch geringfügig manipulierte Eingabedaten gelang es den Forscherinnen und Forschern, Mail-Absender zu fälschen und somit beispielsweise als Administrator oder Administratorin aufzutreten. Diese Eigenschaft umgeht herkömmliche Sicherheitsverfahren zur Erkennung von gefälschten Absendern, die unter Umständen versagen können und somit Phishing-Mails mit einem vertrauenswürdig erscheinenden Absender ermöglicht. Die Schwachstelle wurde bereits Ende Juli entdeckt und im Rahmen einer vertrauensvollen Offenlegung (responsible disclosure) mit Microsoft, Cisco und GMX geteilt. Einige Anbieter haben bereits reagiert. Wer jedoch das Cisco Secure E-Mail Gateway einsetzt, bleibt ohne manuelle Konfigurationsänderungen anfällig für SMTP Smuggling.
Heise Online über die Lücke im E-Mail-Protokoll: https://www.heise.de/news/Neue-Luecke-in-altem-E-Mail-Protokoll-SMTP-smuggling-9584467.html