Wenige Tage bevor alle Systemadministratoren sich zu ihren Familien in die verdienten Weihnachtsferien zurückziehen, lässt SEC Consult die Bombe platzen: Die Antispam-Massnahmen der weitverbreitesten Mailserver können ausgehebelt werden. Sogar die Vortragsreise dazu ist schon geplant. Nur: Der weitverbreiteste Mailserver weiss davon nichts, seine User sind ungeschützt.
Im Sommer entdeckt ein Mitarbeiter der im deutschsprachigen Bereich verwurzelten SEC Consult eine Lücke bei der Übermittlung von Mails zwischen Mailservern. Da sie leicht unterschiedliche Kriterien anlegen, wo eine Nachricht endet, können Mails mit "gut gefälschten" Absenderadressen verschickt werden. Solche, die von etlichen Mailinstallationen nicht erkannt werden.
Die Betreiber von mehreren Millionen Mailservern im Internet (mit vielleicht Hunderten Millionen Nutzern?) werden nicht informiert, auch nicht die Leute hinter der Software. Eine koordinierte Information der Betroffenen findet nicht statt.
Wenn sich alle Administratoren von Postfix-Mailsystemen heute noch ins Zeug legen, können sie ihre Nutzerinnen und Nutzer noch vor unerkanntem Spam oder Phishing über die Feiertage schützen. Wietse Venema, der Kopf hinter dem beliebtesten Mailserver, Postfix, hat das Problem und Workarounds kurz und knapp zusammengefasst.
Eine Überblick über 12 von SMTP Smuggling betroffenen Mailsysteme und ihren Status findet sich hier.