CVE-2017-13874

W produktach Apple, w tym w macOS przed wersją 10.13.2, odkryto problem związany z komponentem 'Mail'. Umożliwia on zdalnym atakującym odczytanie treści e-maili w postaci niezaszyfrowanej, które miały być chronione przez szyfrowanie S/MIME.

W niektórych produktach Apple, w tym iOS przed wersją 10.2, zidentyfikowano problem związany z komponentem 'Mail'. Problem polega na tym, że użytkownik nie jest informowany o podpisie S/MIME e-maila, który używa unieważnionego certyfikatu.

Podatność w bibliotece Mail dotyczy funkcji q_value_decode i b_value_decode, które dekodują tylko pierwsze zakodowane słowo RFC 2047 w ciągu znaków i używają zbyt zachłannego wzorca do dopasowania tokenu zestawu znaków. Specjalnie spreparowane, nieprawidłowe zakodowane słowo osadzone w nazwie wyświetlanej adresu lub części lokalnej może spowodować nieprawidłowe dekodowanie.

Mail to biblioteka internetowa dla Ruby do obsługi poczty e-mail. Przed wersją 2.9.1 funkcje Mail::Utilities.q_value_decode i Mail::Utilities.b_value_decode używały pojedynczego dopasowania String#match i zbyt zachłannego przechwytywania zestawu znaków do dekodowania tylko pierwszego zakodowanego słowa RFC 2047, nieprawidłowo obsługując otaczający lub kolejny tekst. Spreparowane nieprawidłowe zakodowane słowo w nazwie wyświetlanej adresu lub części lokalnej może przekroczyć ograniczniki ? i spowodować, że zdekodowane wartości nagłówków From, To lub Reply-To będą różnić się od surowych wartości sprawdzanych przez człowieka lub dalszy parser, umożliwiając podszywanie się pod nadawcę lub odbiorcę, phishing lub obejście kontroli autoryzacji. Problem naprawiono w wersji 2.9.1.