メール送信元を偽装できる「Mailsploit脆弱性」に気をつけてー
amiyy英語圏で話題になっていたMailsploitですが、日本語の情報が出てきました。
すご～くざっくりいうと「送信元を巧妙に偽装できる」ということ。
動画では偽メールをwhitehouseドメインのメールにしてます。
いままでも簡単にパッと見の送信元は偽ることができましたが、送信ドメイン認証という技術で対抗していました。
今回は送信ドメイン認証なども回避可能な巧妙さを持ち合わせております。
問題あるクライアントソフトは以下のURLで公開されております。
本家
https://www.mailsploit.com/index
メールソフト多数で「Mailsploit」の脆弱性発覚--スパム対策も回避 （日本語）
https://japan.zdnet.com/article/35111572/
メールクライアントソフトの対応状況
https://docs.google.com/spreadsheets/d/1jkb_ZybbAoUA43K902lL-sB7c1HMQ78-fhQ8nowJCQk
JPCERTにものりましたー。
送信者を偽装できる脆弱性「Mailsploit」について
https://www.jpcert.or.jp/newsflash/2017120701.html
2 件のコメント
コメントするには、ログインまたはメンバー登録（無料）が必要です。
「メールの必要性が低いのであれば、できるだけメールの使用を控えるべき」という勧告に、言うに言われぬ微妙さを感じました。まぁそうなんですけどね(^_^;)。
逆に普通のメールクライアントが軒並み引っ掛かっているのはちょっと滑稽というか.....。
あと、情報が確認できませんでしたけど、Outlook Web Accessはどうなのかなあ？、と感じるところはあります。Exchange Serverとの絡みもあるので、ちょっとアンテナは張っている状態です。