Un equipo de investigadores, en colaboración con el SEC Consult Vulnerability Lab, ha identificado dos vulnerabilidades de suplantación de identidad en la infraestructura de correo de Apple iCloud. El estudio, liderado por Timo Longin, explora técnicas de 'header smuggling' (suplantación de cabeceras) que permiten enviar mensajes desde direcciones arbitrarias del dominio icloud.com, incluso cuando el usuario está autenticado con una dirección específica.
El análisis se basa en discrepancias en la interpretación del protocolo SMTP entre servidores de envío y recepción. Aunque las técnicas tradicionales de 'SMTP smuggling' se consideraron obsoletas tras actualizaciones de seguridad en 2024, los investigadores descubrieron que las diferencias en el manejo de caracteres de control, específicamente las líneas de retorno de carro (CR) y saltos de línea (LF), permiten evadir las restricciones de autenticación de Apple. Al inyectar caracteres CR en las cabeceras 'From', el sistema de iCloud ignora la primera instancia y utiliza la segunda para la autenticación, permitiendo que el mensaje se reenvíe a servidores de entrada con una dirección de remitente alterada. Este hallazgo resalta los riesgos de confiar en la autenticación de correo y demuestra la persistencia de vectores de ataque en protocolos complejos, incluso cuando las implementaciones estándar han sido corregidas.