您所在的位置：奇趣闻 >> 数码科技 >> 正文

STARTTLS相关漏洞影响多个邮件客户端

2021-08-23 10:30:57 来源：网络整理作者：管理员

TLS的目前使用最广泛的加密技术。但由于历史原因，邮件协议中并没有直接使用TLS协议而是通过STARTTLS 来进行协商。STARTTLS可以在SMTP、POP3、TMAP等邮件通信协议使用使得传输过程从明文升级到加密的连接，而不需要使用单独的通信加密端口。STARTTLS的引入增加了复杂性，也引入了命令注入等潜在攻击方式。

在8月11-13日举行的第30届USENIX Security Symposium安全大会上，研究人员在不同的STARTTLS实现中发现了40个未修复的安全漏洞，约32万邮件服务器受到命令注入攻击的影响。攻击者利用这些安全漏洞可以执行中间人攻击，伪造邮件客户端内容和窃取相关凭证信息。

漏洞影响多个主流的邮箱客户端，包括Apple Mail、Gmail、Mozilla Thunderbird、Claws Mail、Mutt、Evolution、Exim、Mail.ru、Samsung Email、Yandex和KMail邮箱客户端。攻击过程需要恶意方具有修改邮箱客户端和邮箱服务器之间的连接，并具有邮件服务器上的账号的登录凭证。

邮箱客户端在提交新邮件或访问现有邮件之前，必须用用户名和密码进行认证。对于这些连接，通过STARTTLS到TLS的过渡必须严格执行，因为安全降级会泄露用户名和密码，攻击者就可以具有邮箱账号的完全访问权限。

在另一个场景中，攻击者还可以伪造邮件内容。在TLS握手之前，可以在服务器消息中插入额外的内容作为STARTTLS命令的响应，客户端就会被诱使处理服务器命令，就好像是加密连接的一部分一样。研究人员将这一攻击称之为响应注入(response injection)。

IMAP协议定义了邮箱客户端从邮箱服务器通过TCP/IP连接提取邮件消息的标准。PREAUTH是一个响应，表明连接已经经过外部方法认证了。恶意攻击者可以通过发送PREAUTH消息来预防连接升级和迫使客户端用非加密的连接形式来绕过IMAP中的STARTTLS实现。

研究人员对SMTP、POP3和 IMAP中的STARTTLS进行了分析，开发了一个包含超过100个测试用例的半自动化的测试工具集EAST，涵盖针对邮件协议的STARTTLS移除、命令和响应注入、修改攻击、UI欺骗攻击等。研究的主要关注点是邮件发送和邮件提取的机密性和完整性。通过对28个客户端和23个服务器进行分析，研究人员发现了超过40个STARTTLS漏洞，攻击者利用这些漏洞可以发起邮箱欺骗、凭证窃取等攻击。28个客户端中只有3个没有任何STARTTLS相关的安全问题，23个测试的服务器中只有7个没有发现任何安全问题。

STARTTLS相关漏洞影响多个邮件客户端

研究人员进行互联网扫描发现，有超过32万邮箱服务器(约2%)受到命令注入攻击的影响。

STARTTLS相关漏洞影响多个邮件客户端

相比STARTTLS，implicit TLS更加安全。研究人员建议用户将邮箱客户端配置为使用配置了implicit TLS的SMTP、POP3和IMAP(端口分别为465、995和993)以默认提供TLS功能。

本文来源于网络，转发是因为赛虎网安从事和网络安全、信息安全相关的咨询、培训和教育业务，在电力行业网络与信息安全教育和专业人才培养方面深耕多年（关于CIIPT认证、CISP认证、CISAW认证的相关业务可联系在线咨询顾问）可前往赛虎网安www.edusahoo.com查看更多相关内容。若有侵权，请联系责编删除。

显示全文

上一篇：常春藤CMS：顾方软件打造安全稳定的企业级CMS系统

下一篇：在5G技术高速的情况下，云计算技术同样不能落后

为您推荐

朱一龙爆发式的哭戏，刷新演艺圈新水平，拭目以待

朱一龙主演的电影《峰爆》9月17日即将在各大电影院上映，这部属于灾难型的电影，里面没有过多装饰的场景和华丽的服饰。在灾难面前，个人是多么的渺小，他们帮助困难群众，为了保护家园逆行而上，在这期间产生的父.........

发布时间：2023-06-01 13:03:11

鸡胗怎么炒

【导读】鸡胗怎么炒，下面是小编为你收集整理的，希望对你有帮助！用料：小米椒，鸡胗，大蒜，盐，生抽，黄酒。步骤：1、鸡胗冷水下锅，煮变色了捞起切片。鸡胗要切花，一来好看，二来容易熟又保持了爽口感。2、切好的鸡胗加盐加黄酒加生抽腌制半小时以上。3、大蒜切成蒜蓉，小米......

发布时间：2023-06-01 13:01:03

周迅觉得何炅黄磊太像空巢老人

今日何炅晒出与黄磊的《向往的生活7》海报，何炅黄磊两人牵着小h小o画面很温馨夸姣的呢。可是有的网友却戏弄：“如同两个假笑空巢白叟”“孩子们都离开了，就剩俩老人了，能开心吗？”“这笑脸是p的吧？”这一季.........

发布时间：2023-06-01 12:03:13

十二金仙为什么入佛门十二金仙为凡人做出了什么贡献

【导读】十二金仙为什么入佛门十二金仙为凡人做出了什么贡献，下面是小编为你收集整理的，希望对你有帮助！十二金仙并没有全部板衣佛门，十二金仙中慈航道人，普贤真人，文殊广法天尊和惧留孙最终依了佛门，分别变成观世音菩萨，普贤菩萨，文殊菩萨以及惧留孙佛。这四人成佛是他们自己的选择，因为这四位金仙经历过封神的劫......

发布时间：2023-06-01 12:01:04

张丹峰洪欣合体

5月28日，洪欣和张丹峰敞开了他们离婚闹剧后的初次合体直播，虽然仅仅秀恩爱并没有带货，却依然被网友骂惨了，网友纷繁表示：相比对张丹峰，现在对洪欣更没有好感了！直播间里，洪欣和张丹峰体现得非常恩爱，两个.........

发布时间：2023-06-01 11:03:11

耸怎么读

【导读】耸怎么读，下面是小编为你收集整理的，希望对你有帮助！sǒng。耸，中国汉字。该字的基本字义是：高起，直立的意思，如：高耸入云、耸立、耸拔、耸峙。又意：惊动或聋的意思。耸相关词语：耸肩、耸惑、修耸、逼耸、耸恿、严耸、巉耸、耸壑、耸切、耸拔等。笔顺：撇、点......

发布时间：2023-06-01 11:01:03

张子枫：获华表奖优秀女演员奖很幸福

第十八届、第十九届中国电影华表奖23日在北京揭晓。张子枫凭借《我的姐姐》获第十九届华表奖优秀女演员奖。谈到获奖感受，张子枫说自己感觉很幸福，挺开心的。她坦言作为演员大家都一样，说不想得到奖.........

发布时间：2023-06-01 10:03:09

如来杀的是真孙悟空如来杀死孙悟空的论据有哪些

【导读】如来杀的是真孙悟空如来杀死孙悟空的论据有哪些，下面是小编为你收集整理的，希望对你有帮助！在传说中说写到的是如来杀了孙悟空，因为不论是记载，还是《西游记》后期的演绎，都能看出很多的破绽，从分析上看，如来与六耳猕猴在之前就应该是认识的，但是如来通晓天下事，这一点有些解释不通。其实如来很明显就......

发布时间：2023-06-01 09:01:04

林西娅游乐园写真上线俏皮灵动尽显温柔气质

日前，林西娅在自己社交平台晒出一组新写真街拍。照片中，林西娅一身粉色毛衣秋冬感初显，落日余晖下玩耍流连于旋转木马之上，时而俏皮灵动、时而温柔妩媚。并配文到：保持童心，才不会变成无趣的大人。心态积极向上.........

发布时间：2023-06-01 08:03:15

赛太岁的法宝是什么?紫金铃(拥有它能战无不胜)

【导读】赛太岁的法宝是什么?紫金铃(拥有它能战无不胜)，下面是小编为你收集整理的，希望对你有帮助！我国四大名著《西游记》中,出场的人、神仙、妖怪等人物除了自身有些本领外,都是会有法宝护身的,不管这个法宝是不是自己的,但是一定很好用。那大家知道赛太岁的法宝是什么吗?小编今天就跟大家科普一下吧。赛太岁......

发布时间：2023-06-01 08:01:03

任家萱挺孕肚游泰国

5月25日，Selina任家萱在个人交际账号晒出一组旅行照。现在，Selina正处于孕中期，她和宝宝的状况都很不错，身体条件完全允许她出国旅游。Selina此次出国之旅去的是泰国，品尝了很多当地美食的.........

发布时间：2023-06-01 07:03:11

黄瓜生吃好还是熟吃好黄瓜怎么样吃更健康一些

【导读】黄瓜生吃好还是熟吃好黄瓜怎么样吃更健康一些，下面是小编为你收集整理的，希望对你有帮助！黄瓜是很多人喜欢吃的美食，夏天可能很多人会生吃黄瓜，那么黄瓜到底是生吃好一些还是煮熟吃好一起呢，和小编一起了解探索一下吧。黄瓜生吃好还是熟吃好其实黄瓜最好不要生吃，很多人知道黄瓜不仅可以减肥，同时还可......

发布时间：2023-06-01 07:01:03

阅读排行榜

周排行榜
月排行榜
总排行榜