SMTP-injectiekwetsbaarheid in quoted printable e-mails uit monitor

[wandernauta]

In 6d991e5 is de base64-encoding van de platte hoofdtekst van monitormeldingen vervangen door een quoted printable-encoding.

Dit betekent dat de tekst van een zoekopdracht in ASCII zonder meer wordt opgenomen in de SMTP-conversatie met de mailserver, met als gevolg dat een zoekopdrachtmonitor als (alle newlines \n)...

en NOT "
.
MAIL FROM: <[email protected]>
RCPT TO: <[email protected]>
DATA
From: [email protected]
To: [email protected]
Subject: Money

This is spam.
.
QUIT
"

...leidt tot een monitormailtje dat in het midden ophoudt gevolgd door een mailtje als...

Een oplossing zou kunnen zijn om alle . te encoderen als quoted-printable =2E. In het kader van diepteverdediging is het wellicht het overwegen waard om van de zoekopdracht alleen zichtbare ASCII en spatie op te nemen in het bericht, en/of om zoekopdrachten die uit meerdere regels bestaan überhaupt te weren.

Issues #29 en berthubert/trifecta#40 zijn gerelateerd.