<html>
  <head>
    <meta http-equiv="Content-Type" content="text/html; charset=utf-8">
  </head>
  <body text="#000000" bgcolor="#FFFFFF">
    <p>Hi!<br>
    </p>
    <br>
    <div class="moz-cite-prefix">At 05/11/17 16:09, Andreas Metzler
      wrote:<br>
    </div>
    <blockquote type="cite"
      cite="mid:20171105150937.pazper4f7qd4sdkv@argenau.bebt.de"><br>
      <blockquote type="cite">
        <pre wrap="">After this change, it's no longer possible for an attacker to use this technique to extract information. All their attempts would result in "relay not permitted" regardless of sender address.
</pre>
      </blockquote>
      <pre wrap="">[...]

I do not see the attacker gain, the same information can be extracted by
trying out RCPT TO *@omega-software.com with FROM <a class="moz-txt-link-abbreviated" href="mailto:attacker@gmail.com">attacker@gmail.com</a>.</pre>
    </blockquote>
    <br>
    Indeed :-)<br>
    <br>
    We even had one of those, this morning:<br>
    <br>
    2017-11-05 09:24:14 H=(attacker) [10.20.30.40]
    F=<a class="moz-txt-link-rfc2396E" href="mailto:attacker@example.com"><attacker@example.com></a> rejected RCPT
    <a class="moz-txt-link-rfc2396E" href="mailto:test1@omega-software.com"><test1@omega-software.com></a>: Unrouteable address<br>
    2017-11-05 09:24:14 H=(attacker) [10.20.30.40]
    F=<a class="moz-txt-link-rfc2396E" href="mailto:attacker@example.com"><attacker@example.com></a> rejected RCPT
    <a class="moz-txt-link-rfc2396E" href="mailto:test2@omega-software.com"><test2@omega-software.com></a>: Unrouteable address<br>
    2017-11-05 09:24:14 H=(attacker) [10.20.30.40]
    F=<a class="moz-txt-link-rfc2396E" href="mailto:attacker@example.com"><attacker@example.com></a> rejected RCPT
    <a class="moz-txt-link-rfc2396E" href="mailto:test3@omega-software.com"><test3@omega-software.com></a>: Unrouteable address<br>
    ....<br>
    2017-11-05 09:24:14 H=(attacker) [10.20.30.40]
    F=<a class="moz-txt-link-rfc2396E" href="mailto:attacker@example.com"><attacker@example.com></a> rejected RCPT
    <a class="moz-txt-link-rfc2396E" href="mailto:validaddress@omega-software.com"><validaddress@omega-software.com></a>: SPF check failed.<br>
    <br>
    <blockquote type="cite"
      cite="mid:20171105150937.pazper4f7qd4sdkv@argenau.bebt.de">
      <pre wrap="">What am I missing?</pre>
    </blockquote>
    <br>
    This one can be solved too (mostly). Usually they fail some of the
    other checks. In this case SPF but it could be reverse DNS, DNSBL or
    other. Same problem: they can tell the difference because they get a
    different message.<br>
    <br>
    So we mitigated this case by moving the recipient check too. Not
    just after relay, but after all the other checks that could
    potentially reject the attempt.<br>
    <br>
    Here's the patch for that. If you want I can send a separate report
    (that was my initial intent).<br>
    <br>
    <div class="moz-signature">-- <br>
      Paul Graham<br>
      Development Dept.<br>
      <a href="http://Omega-Software.com/">http://Omega-Software.com/</a><br>
      <br>
      <img src="cid:part2.35FCA3A8.ED1A2889@omega-software.com"
        alt="Omega Software" height="65" width="72">
    </div>
  </body>
</html>