Contrabando SMTP: Nueva Falla Permite a los Atacantes Bypass de Seguridad y Suplantación de Emails
Una nueva técnica de explotación denominada contrabando SMTP (Protocolo Simple de Transferencia de Correo) puede ser armada por actores de amenazas para enviar correos electrónicos suplantados con direcciones falsas del remitente, mientras se evaden las medidas de seguridad.
"Los actores de amenazas podrían abusar de servidores SMTP vulnerables en todo el mundo para enviar correos electrónicos maliciosos desde direcciones de correo electrónico arbitrarias, permitiendo ataques de phishing dirigidos", dijo Timo Longin, consultor de seguridad senior en SEC Consult, en un análisis publicado el mes pasado.
SMTP es un protocolo TCP/IP utilizado para enviar y recibir mensajes de correo electrónico a través de una red. Para retransmitir un mensaje desde un cliente de correo electrónico (también conocido como agente de usuario de correo), se establece una conexión SMTP entre el cliente y el servidor para transmitir el contenido real del correo electrónico.
El servidor luego depende de lo que se llama un agente de transferencia de correo (MTA) para verificar el dominio de la dirección de correo electrónico del destinatario y, si es diferente del remitente, consulta el sistema de nombres de dominio (DNS) para buscar el registro MX (exchanger de correo) del dominio del destinatario y completar el intercambio de correo.
La esencia del contrabando SMTP se arraiga en las inconsistencias que surgen cuando los servidores SMTP salientes y entrantes manejan las secuencias de fin de datos de manera diferente, lo que potencialmente permite a los actores de amenazas salir del mensaje de datos, "contrabandear" comandos SMTP arbitrarios e incluso enviar correos electrónicos separados.
Contrabando SMTP
Toma prestado el concepto de un método de ataque conocido como contrabando de solicitudes HTTP, que aprovecha las discrepancias en la interpretación y procesamiento de las cabeceras HTTP "Content-Length" y "Transfer-Encoding" para anteponer una solicitud ambigua a la cadena de solicitudes entrantes.
Específicamente, explota fallas de seguridad en servidores de mensajería de Microsoft, GMX y Cisco para enviar correos electrónicos que suplantan millones de dominios. También están afectadas las implementaciones SMTP de Postfix y Sendmail.
Esto permite enviar correos electrónicos falsificados que aparentemente parecen originarse de remitentes legítimos y derrotar las verificaciones establecidas para asegurar la autenticidad de los mensajes entrantes, es decir, Correo Identificado con Claves de Dominio (DKIM), Autenticación de Mensajes Basada en Dominio, Informes y Conformidad (DMARC) y Marco de Políticas del Remitente (SPF).
Mientras que Microsoft y GMX han corregido los problemas, Cisco ha indicado que los hallazgos no constituyen una "vulnerabilidad, sino una característica y que no cambiarán la configuración predeterminada". Como resultado, el contrabando SMTP entrante a instancias de Cisco Secure Email todavía es posible con configuraciones predeterminadas.
Como solución, SEC Consult recomienda que los usuarios de Cisco cambien sus configuraciones de "Clean" a "Allow" para evitar recibir correos electrónicos suplantados con verificaciones DMARC válidas.
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario