Programadores que conquistan la seguridad: Serie de aprendizaje y difusión - Inyección de cabeceras de correo electrónico

Hoy en día es común que los sitios web y las aplicaciones permitan a los usuarios enviar comentarios, recordatorios de citas y otro tipo de información mediante correo electrónico. Por lo general, este proceso es bastante inofensivo y la mayoría de las personas ni siquiera lo considera un posible riesgo de seguridad.

Sin embargo, al igual que cualquier otro elemento de diseño que permita la entrada de datos por parte del usuario, si no se configuran correctamente, estas funciones aparentemente insignificantes pueden ser manipuladas por usuarios malintencionados con fines nefastos. Solo hace falta que el usuario tenga la capacidad de introducir código en el campo de entrada que luego el servidor procese por error. De repente, una aplicación de correo electrónico puede convertirse en un arma.

En este episodio aprenderemos:

• Cómo pueden los atacantes activar una inyección de cabecera de correo electrónico
• Por qué las inyecciones de cabecera de correo electrónico son peligrosas
• Técnicas para solucionar esta vulnerabilidad.

¿Cómo activan los atacantes una inyección de cabecera de correo electrónico?

Aunque no suele considerarse programable, la mayoría de las aplicaciones o funciones de contacto por correo electrónico integradas en sitios web o aplicaciones pueden aceptar entradas que alteran la naturaleza de la consulta. Normalmente, esto lo hace el servidor de forma automática después de que el usuario introduce su información, como su dirección de correo electrónico, en el campo de contacto. El programa configura entonces el mensaje, añade los destinatarios correspondientes y envía el mensaje utilizando su servidor de correo electrónico predeterminado.

Una solicitud POST de correo electrónico típica podría tener este aspecto:

POST /contact.php HTTP/1.1
Host: www.example.com

Y generar un código con este aspecto después de que el usuario haya introducido su información:

name=RealName&replyTo=RealName@ValidServer.com&message=YourAppointmentReminder

El problema surge cuando los hackers empiezan a inyectar código en el proceso en lugar de solo su información de contacto. Esto es similar a un ataque de tipo inyección SQL, pero dirigido contra la aplicación de correo electrónico. Un ejemplo de una consulta manipulada que, en su lugar, enviaría spam desde su aplicación a un usuario objetivo podría tener este aspecto:

name=FakeName\nbcc: SpammedVictim@TargetAddress.com&replyTo= FakeName@ValidServer.com&message=Spammed message

¿Por qué es peligrosa la inyección de cabecera de correo electrónico?

Dependiendo de la habilidad del usuario malintencionado y de sus intenciones, los ataques de inyección de cabecera de correo electrónico pueden variar desde ser simplemente molestos hasta ser altamente peligrosos en términos de gravedad. En el nivel más bajo de la escala de gravedad, podrían insertar su información de contacto en el campo CCO de un mensaje saliente enviado a un buzón secreto o no revelado dentro de su empresa, revelándolo así a un hacker.

Lo que es más preocupante, podría permitirles controlar completamente su servidor de correo electrónico para enviar spam, phishing u otros correos electrónicos de ataque desde su organización. No tendrían que intentar fingir que el correo electrónico proviene de sus servidores internos, porque realmente se originaría allí. Y si usted no supervisa esa actividad, pueden incluso automatizar el proceso, enviando cientos o miles de correos electrónicos utilizando los servidores de su organización, de tal manera que parezca que usted es quien realmente está instigando esa actividad.

Eliminación del problema de inyección de cabecera de correo electrónico

Al igual que con la inyección SQL y otros ataques de esta naturaleza, la clave para eliminar la posibilidad de que un usuario malintencionado explote una vulnerabilidad de cabecera de correo electrónico es no confiar nunca en la entrada del usuario. Si un usuario puede introducir información, incluso si parece un proceso trivial como introducir su dirección de correo electrónico, debe asumir lo peor. O al menos asumir que lo peor es posible.

La validación de entrada debe realizarse para todos los parámetros, y esto incluye cuando se añade una función de contacto por correo electrónico a una aplicación o sitio web. Se pueden utilizar listas blancas para habilitar específicamente los procesos y campos que considere válidos, denegando todo lo demás. De hecho, la mayoría de los marcos de trabajo disponen de bibliotecas que pueden utilizarse para ayudar a restringir las funciones solo a las necesarias. Hacer esto evitará que cualquier código o comando introducido por usuarios malintencionados sea reconocido y procesado por sus servidores.

Más información sobre las inyecciones de cabecera de correo electrónico

Para profundizar en el tema, puedes consultar lo que dice OWASP sobre la inyección de cabeceras de correo electrónico. También puedes poner a prueba tus nuevos conocimientos defensivos con la demo gratuita de la plataforma Secure Code Warrior, que entrena a equipos de ciberseguridad para convertirse en los mejores ciberguerreros. Para aprender más sobre cómo derrotar esta vulnerabilidad y una amplia lista de otras amenazas, visita el blog de Secure Code Warrior.

¿Crees que estás listo para encontrar y corregir una inyección de correo electrónico ahora mismo? Dirígete a la plataforma y pon a prueba tus habilidades: [Empieza aquí]