mailbox.org hat eine kritische Sicherheitslücke in dem millionenfach genutzten myMail-Client für iOS entdeckt. Da die Passwortübertragung unverschlüsselt stattfindet, gefährdet das die Nutzer. Die Lücke wurde durch Zufall entdeckt, da in den TLS-Logs ein Fehlermeldung zu finden war. Die Experten konnten danach die Passwörter extrahieren.
Das Team von mailbox.org, der auf Datenschutz und Datensicherheit spezialisierte E-Mail-Dienst aus Berlin, hat eine kritische Sicherheitslücke im myMail-Client für iOS entdeckt, die zu einer unverschlüsselten Übertragung von Nutzer-Passwörtern und E-Mails führt. Eine entsprechende Warnung an die Nutzer:innen von myMail hat mailbox.org zusammen mit dem Sicherheitsforscher Mike Kuketz zuerst auf dessen Blog veröffentlicht.
Sicherheitslücke verrät die Passwörter
Die Sicherheitsexperten von mailbox.org wurden auf die Sicherheitslücke aufmerksam, nachdem Kund:innen im User-Forum von mailbox.org auf Übertragungsfehler beim Versenden von E-Mails über den myMail-Client hingewiesen haben. Nach einer gründlichen Untersuchung der Logs stellte das Team fest, dass die myMail-App versucht, Passwörter ohne die sonst vorgeschriebene TLS-Verschlüsselung ungesichert zu übertragen, was ein enormes Sicherheitsrisiko darstellt. Das Team von mailbox.org war damit auch in der Lage, in den Verbindungen Nutzerpasswörter zu extrahieren.
Laut Peer Heinlein, Geschäftsführer von mailbox.org, lehnen ihre Server unverschlüsselte Verbindungen grundsätzlich ab, um die Nutzersicherheit zu gewährleisten. Nur aus diesem Grunde scheiterten die fehlerhaften Verbindungsversuche der myMail-App, so dass Nutzer:innen und Postmaster von mailbox.org stutzig wurden.
myMail-Client: Fehlerhafte oder keine TLS-Verschlüsselung
Dieses Problem ist nicht nur für Kund:innen von mailbox.org relevant: Es stellt auch ein generelles Sicherheitsrisiko für alle Nutzer:innen dar, die den myMail-Client verwenden. Sofern andere Provider unverschlüsselte Verbindungen erlauben und die myMail-App weiterhin funktioniert, könnten Dritte in diesen Fällen Passwörter abgreifen oder den Inhalt der ebenso unverschlüsselten E-Mails mitlesen, wenn diese über den myMail-Client versendet werden, insbesondere wenn Nutzer:innen sich in einem offenen Netzwerk befinden.
Das Team von mailbox.org empfiehlt dringend, den myMail-Client in Verbindung mit ihrem Dienst oder anderen E-Mail-Providern vorerst nicht mehr zu verwenden, bis die Sicherheitsprobleme behoben wurden. Es gibt zahlreiche alternative E-Mail-Clients, die höhere Sicherheitsstandards bieten und die Privatsphäre von Nutzer:innen besser schützen. Gleichzeitig zeige der aktuelle Vorfall einmal mehr, wie wichtig es ist, ausschließlich über sicher konfigurierte und Verschlüsselung erzwingende Systeme zu kommunizieren.
Mehr bei mailbox.org
Über mailbox.org
Der deutsche E-Mail-Spezialist mailbox.org zeigt, dass sich Digitale Souveränität, Sicherheit und Datenschutz auch mit Komfort und umfangreichen Features vereinen lassen. Neben klassischen E-Mail-Kernfunktionen erhalten sicherheitsbewusste Privat- und Geschäftskunden auf Basis einer Open Source-Lösung auch Kalender, Adressbuch, Aufgabenverwaltung, Online-Textverarbeitung und einen Cloud-Speicher.
Passende Artikel zum Thema