【缺陷周话】第46期：邮件服务器建立未加密的连接-安全客

1、邮件服务器建立未加密的连接

在程序开发中需要构建邮件和消息应用程序时，保证邮件通讯数据的机密性和数据内容的完整性是不可或缺的。如果在未加密的情况下建立邮件服务连接，则攻击者可能会拦截网络通信数据并进行数据篡改，或者将传输的数据备份，以获取用户网络活动信息，包括账户、密码等敏感信息，而进行通信的双方却毫不知情。本文以JAVA语言源代码为例，分析“邮件服务器建立未加密的连接”缺陷产生的原因以及修复方法。详见CWE ID 200: Information Exposure (http://cwe.mitre.org/data/definitions/200.html)。

2、邮件服务器建立未加密的连接的危害

利用该缺陷，攻击者可能会对网络数据进行截取，通过修改邮件内容，在其中植入钓鱼链接，诱骗用户输入机密数据，如信用卡号、账户名、口令等。

从2018年1月至2019年8月，CVE中共有1条漏洞信息与其相关。部分漏洞如下：

CVE	概述
CVE-2018-5482	Intuit Lacerte 2017 for Windows 在客户端/服务器环境中通过 SMB 以明文形式传输整个客户列表，允许攻击者通过嗅探网络获取敏感信息进行中间人（MITM）通过未指定的载体进行攻击。客户列表包含每个客户的姓名、社会安全号码（SSN）、地址、职位、电话号码、电子邮件地址、配偶电话、电子邮件地址以及其它敏感信息。客户端软件对服务器数据库进行身份验证后，服务器会发送客户列表。所有敏感数据都暴露无需进一步利用。此漏洞已在 Intuit Lacerte 2017上得到验证，但旧版本的 Lacerte 可能容易受到攻击。

CVE

概述

CVE-2018-5482

Intuit Lacerte 2017 for Windows 在客户端/服务器环境中通过 SMB 以明文形式传输整个客户列表，允许攻击者通过嗅探网络获取敏感信息进行中间人（MITM）通过未指定的载体进行攻击。客户列表包含每个客户的姓名、社会安全号码（SSN）、地址、职位、电话号码、电子邮件地址、配偶电话、电子邮件地址以及其它敏感信息。客户端软件对服务器数据库进行身份验证后，服务器会发送客户列表。所有敏感数据都暴露无需进一步利用。此漏洞已在 Intuit Lacerte 2017上得到验证，但旧版本的 Lacerte 可能容易受到攻击。

3、示例代码

3.1 缺陷代码

上述代码是进行发送邮件的初始化操作，第77行声明了一个 Properties 对象用于连接邮件服务器的参数配置，第78行设置发件人的邮箱的 SMTP 服务器地址，第79行使用 STMP 协议作为邮件发送协议，第80行根据配置创建会话对象，用于和邮件服务器交互，第81行将会话设置为 debug 模式，可以查看程序发送 Email 的运行状态。第82~83行创建邮件对象并设置发件时间，MimeMultipart 对象用于添加邮件的各个部分内容，包括文本内容和附件，第85行将 multipart 设置为邮件的内容。在创建并使用邮件服务的过程中使用了未加密的连接，使用未加密网络发送敏感信息可能会被恶意攻击者通过拦截网络通信读取并修改信息。

使用代码卫士对上述示例代码进行检测，可以检出“邮件服务器建立未加密的连接”缺陷，显示等级为高。在代码行第80行报出缺陷，如图1所示：