[gelöst] Status SMTP Smuggeling Anffälligkeit?

[ITZA]

Ist Nospamproxy anfällig von smtp smuggeling wie es derzeit bei Postfix usw möglich ist??:

https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2023/2023-292569-1032.pdf?__blob=publicationFile&v=3

Grüße

 

[StefanCink]

Moinsen,
auf den ersten Post hierzu habe ich nur gewartet. Dazu ein Auszug aus meinem Linkedin-Post dazu:
Wir haben NoSpamProxy gecheckt, können aber sicher sagen, dass wir für diese Schwachstelle nicht empfänglich sind. Entsprechend präparierte E-Mails leiten wir aber unverändert weiter! Das wiederum bedeutet, dass wenn ein nachfolgendes System vulnerabel ist, die Schwachstelle ausgenutzt werden kann. Das wiederum heißt nicht, dass diese E-Mails immer durchkommen. Wir prüfen Sie uneingeschränkt auf schädliche Inhalte und weisen sie ab, wenn uns bzgl. der Inhalte etwas stört.
Ich hoffe, das hilft weiter.
Gruß Stefan

 

[JanJäschke]

Guten Morgen ITZA,

nein NoSpamProxy selbst ist nicht anfällig für die Lücke da wir uns sehr explizit an die RFC halten und diese schön eindeutig sagt, dass <CRLF>.<CRLF> nur genau so stattzufinden hat
RFC: https://datatracker.ietf.org/doc/html/rfc5321#section-4.2.5

Das bedeutet aber natürlich, dass wenn im Body ein <LF>.<LF> (als Beispiel) kommt wir diesen auch so an den nachgelagerten E-Mail Server durchstellen, ist letztlich einfach ein Teil des Bodys.

Ich kläre grade, dass wir einen Beitrag dazu auf unserer Seite veröffentlichen

LG
Jan

EDIT: da war Stefan wohl was schneller.

 

[StefanCink]

An dieser Stelle nutze ich mal die Gelegenheit und Frage die Gemengelage für einen Schalter in NSP ab, der nicht RFC-konforme E-mails abweist. Meine Vorstellung ist ein stumpfer Schalter "An / Aus" für einen Strict-Modus. Sobald eine E-Mail als Zeilenumbruch nur ein einzelnes CR oder LF aufweist, wird sie abgewiesen. Es wäre mir auf jeden Fall ein Fest.
Gruß Stefan

 

[florianznottka]

Wäre für den Schalter - vielen Dank für die kurzfristige Info zwischen den Tagen

 

[Sören]

Gelegenheit und Frage die Gemengelage für einen Schalter in NSP ab

Wäre für den Schalter - vielen Dank für die kurzfristige Info zwischen den Tagen

uff...eindeutig dagegen, Kunden aktivieren das und überrennen dann unseren Support mit Tickets weil Mails nicht ankommen, ganz ganz schlechte Idee

Und wenn man sich Mails anschaut die von einem Windows System generiert wurden, dann zum Beispiel über einen Postfix oder Sendmail (Unix / Linux) liefen, dann sieht man häufig genau das: die Mischung aus LF und CRLF innerhalb einer Mail.

 

[StefanCink]

Ja, den Einwand kann ich sehr gut verstehen. Es müsste eindeutig gekennzeichnet werden, was die Aktivierung für Folgen haben kann.

 

[869288141]

Hallo zusammen,

Meine Vorstellung ist ein stumpfer Schalter "An / Aus" für einen Strict-Modus.

Ich schließe mich Sören an und halte ebenfalls nichts davon. Das Backend-System muss eben gepflegt werden wie jedes andere - wenn sogar häufiger. Damit schaffst du einen Präzedenzfall für alle weiteren Thematiken die in Zukunft noch aufkommen werden. Dann heißt es, warum wurde für SMTP Smuggeling integriert, aber für Thema X nicht.

Steckt die Ressourcen in andere Themen, das ist mir lieber. Falls ihr nicht wisst wo hin mit dem Ressourcen, lasst es mich wissen. Hier liegt noch die Weihnachtswunschliste für NSP.

Gruß,
Daniel

 

[StefanCink]

Moin Daniel,
den Punkt verstehe ich, aber am Ende des Tages würde man sich mit der Aktivierung des Schalters "lediglich" an die RFC halten. Bei Linkedin habe ich bereits durch eine Gänseblume hindurch gesagt, dass es mich echt hart abnervt, wenn wir mit NSP die Unzulänglichkeiten anderer durch Aufweichungen auffangen sollen, nur weil es andere halt auch so machen. Die Hauptgründe sind immer dieselben:

- Andere machen das auch so
- Der Hersteller der verursachenden Software ist so groß, da kann ich sowieso nichts ändern
- Was soll schon passieren?

Aber zu der Weihnachtswunschliste interessiert mich Dein Input. Wir haben das Jahr 2024 schon gut bestückt und ich kann sagen, dass es vor allem neue Features für NSP Protection geben wird. Mal sehen, wie viele Schnittmengen wir haben.
Gruß Stefan

 

[Sören]

Ich schließe mal den Beitrag, die eigtl. Frage ist ja beantwortet

@869288141 gerne dann eine PN an @StefanCink mit deinen Wünschen