近日，德国安全研究员 Sabri Haddouche 发现了存在于 33 个邮件客户端中的多个漏洞，可以让任意用户伪造身份发送欺诈邮件并绕过反欺诈保护机制（如 DMARC 等）和多种垃圾邮件过滤器。Sabri 把这些漏洞统称为 MailSploit 漏洞，主要影响 Apple Mail（macOS、iOS、watchOS）、Mozilla Thunderbird、 部分 Microsoft 客户端、Yahoo Mail、ProtonMail 等。

通过 MailSploit 漏洞，黑客可以利用邮件客户端和 web 交互页面对“ From ”头的字符编码方式进行恶意攻击。大量邮件客户端会采用 RFC-1342 编码字符串，并解码为非 ASCII 字符，但随后不会清洁检查是否存在恶意代码。

DMARC 并没有遭受直接攻击，而是利用客户端展示邮件发送人的名称被绕过了。服务器仍然会正确验证原始域名而非欺骗性域名的 DKIM 签名。这就导致在目前情况下欺骗性邮件实际上是无法阻止的。此外，利用 MailSploit, 攻击者甚至还能在计算机上执行代码。

(责任编辑：冬天的宇)