NOTÍCIAS

[ANONYMOUS][grids]

Dezenas de falhas relacionadas ao STARTTLS encontradas afetando clientes de e-mail populares

STARTTLS


 Pesquisadores de segurança revelaram até 40 vulnerabilidades diferentes associadas a um mecanismo de criptografia oportunista em clientes de e-mail e servidores que podem abrir a porta para ataques direcionados de man-in-the-middle (MitM), permitindo que um invasor falsifique o conteúdo da caixa de correio e roube credenciais .

As falhas agora corrigidas, identificadas em várias implementações do STARTTLS, foram detalhadas por um grupo de pesquisadores Damian Poddebniak, Fabian Ising, Hanno Böck e Sebastian Schinzel no 30º Simpósio de Segurança USENIXEm uma varredura em toda a Internet realizada durante o estudo, 320.000 servidores de e-mail foram considerados vulneráveis ​​ao que é chamado de ataque de injeção de comando.

Alguns dos clientes populares afetados pelos bugs incluem Apple Mail, Gmail, Mozilla Thunderbird, Claws Mail, Mutt, Evolution, Exim, Mail.ru, Samsung Email, Yandex e KMail. Os ataques exigem que a parte mal-intencionada possa violar as conexões estabelecidas entre um cliente de e-mail e o servidor de e-mail de um provedor e tenha credenciais de login para sua própria conta no mesmo servidor.

STARTTLS refere-se a uma forma de TLS oportunista que permite que os protocolos de comunicação por e-mail, como SMTP, POP3 e IMAP, sejam transferidos ou atualizados de uma conexão de texto simples para uma conexão criptografada em vez de ter que usar uma porta separada para comunicação criptografada.

"Atualizar conexões via STARTTLS é frágil e vulnerável a uma série de vulnerabilidades e ataques de segurança", observaram os pesquisadores , permitindo que um intrometido injetasse comandos de texto simples que um "servidor seria interpretado como se fizessem parte do conexão criptografada ", permitindo que o adversário roube credenciais com os protocolos SMTP e IMAP.

"Os clientes de e-mail devem se autenticar com um nome de usuário e senha antes de enviar um novo e-mail ou acessar e-mails existentes. Para essas conexões, a transição para TLS via STARTTLS deve ser estritamente aplicada porque um downgrade revelaria o nome de usuário e a senha e daria a um invasor acesso total para a conta de e-mail ", acrescentaram os pesquisadores.

Em um cenário alternativo que poderia facilitar a falsificação da caixa de correio, inserindo conteúdo adicional na mensagem do servidor em resposta ao comando STARTTLS antes do handshake TLS, o cliente pode ser induzido a processar comandos do servidor como se eles fizessem parte da conexão criptografada. Os pesquisadores apelidaram o ataque de "injeção de resposta".

A última linha de ataque diz respeito ao protocolo IMAP , que define uma maneira padronizada para clientes de e-mail recuperarem mensagens de e-mail de um servidor de e-mail por meio de uma conexão TCP / IP. Um agente malicioso pode ignorar STARTTLS no IMAP enviando uma saudação PREAUTH - uma resposta que indica que a conexão já foi autenticada por meios externos - para evitar a atualização da conexão e forçar um cliente a uma conexão não criptografada.

Afirmando que o TLS implícito é uma opção mais segura do que STARTTLS, os pesquisadores recomendam que os usuários configurem seus clientes de e-mail para usar SMTP, POP3 e IMAP com TLS implícito em portas dedicadas (porta 465, porta 995 e porta 993 respectivamente), além de instando os desenvolvedores de aplicativos de servidor e cliente de e-mail a oferecer TLS implícito por padrão.

"Os ataques demonstrados requerem um atacante ativo e podem ser reconhecidos quando usados ​​contra um cliente de email que tenta forçar a transição para TLS", disseram os pesquisadores. "Como recomendação geral, você deve sempre atualizar seu software e (para lucrar também com conexões mais rápidas) reconfigurar seu cliente de e-mail para usar apenas TLS implícito."