Apple Mail: Fehler im Assistent führt zu “Sicherheitsproblem”

Die Redaktion hat einen Fehler in Apple Mail gefunden, welcher bisher nicht dokumentiert ist, und in gewisser Weise eine Sicherheitslücke darstellt. (vor kurzem hatten wir einen Fehler in der Größe von per Kontext-Menü kopierten Bildern gefunden)

Wer in Apple Mail einen Mail-Account einrichten möchte, dem präsentiert das Programm den Assistenten zur Einrichtung eines Accounts.

Wir hatten in konkretem Fall eine Mail Adresse einzurichten, die sich als “Vollständiger Name” (Absenderkennung) mit “irgendwas @ firma xy” (z.B. “Support @ MacBug”, siehe Foto) für den Empfänger darstellen sollten. So kann z.B. “Buchhaltung @ Firma XY” durchaus vorkommen. Man beachte bitte das @-Zeichen und die zwei Leerstellen.

Nach Abschluss der Einrichtung ist kein Fehler zu erkennen. Alles funktioniert einwandfrei.

Nun das große aber: Wer eine Email über den zuletzt eingerichteten Account verschickt, der schickt eine Mail an den Empfänger, in der zwei Absender vorkommen – eine MobileMe Adresse ist hinzugekommen. Diese wurde nicht von uns eingerichtet, Mail zeigt sie auch nirgendwo an.

Diese ergibt sich immer aus dem ersten Teil der Absenderkennung vor dem “@” – so z.B. “support@me.com” in unserem konkreten Fall. Gleichzeitig ist auch ein zweiter Absender in der Mail beim Empfänger zu finden – nämlich die korrekte, “support@macbug.de” in unserem Fall.

Somit braucht der Empfänger wie gewohnt nur auf “Antworten” drücken – und schickt eine Mail an beide vermeintlichen Absender – die korrekte Adresse als auch die MobileMe Adresse.

Wer also im Besitz der Adresse “support@me.com” ist (in diesem Fall wird das Apple sein), bekommt alle Mails in Zukunft auf diesem Wege in Kopie. Die Sicherheitslücke ist ganz klar, dass jemand im Besitz der Adresse “irgendwas@me.com” sein könnte und somit alles mitbekommt – der eigentliche Absender wird das nur erfahren, wenn er die Empfänger aus der Antwort genauer unter die Lupe nimmt.

Wir konnten dem Mailprogramm dieses Verhalten erst damit abgewöhnen, das “@”-Symbol komplett aus der Absenderkennung zu löschen und dies zu speichern. Danach kamen die Mails korrekt und ohne zweite Adresse an.

Erstaunlicher Weise kann danach ein “@” wieder eingefügt werden, es kommt dann nicht mehr zu einer zweiten Empfängeradresse – somit ist eindeutig der Assistent von Mail an diesem Problem Schuld.

Wir empfehlen allen Lesern, die Absenderkennungen zu überprüfen und ggf. entsprechend zu ändern.

Wir wären entsprechend dankbar für eine Prüfung dieses Fehlers unter 10.5 – unser Testrechner hatte Mac OS X 10.6.2.

Als großer Enthusiast und langjähriger Apple-Professional, lerne ich nie aus und freue mich immer, neuen wie alten Mac-Usern mit Hilfe zur Seite zu stehen. Ich bin gerne über MacBug.de erreichbar, ein Projekt welches ich im Jahr 2007 startete. Gerne lese und beantworte ich Kommentare zu den Artikeln persönlich.
Ich freue mich auf eine Weiterempfehlung der Webseite durch unsere Leser! :)

Takeo

Alle Artikel von Takeo anzeigen.
Takeos website/twitter account