CVE-2017-14230
KrytyczneStreszczenie
W funkcji mboxlist_do_find w Cyrus IMAP przed wersją 3.0.4 wystąpił błąd off-by-one w obliczaniu prefiksu dla polecenia LIST, co prowadziło do użycia niezainicjowanej pamięci. Może to umożliwić zdalnym atakującym uzyskanie wrażliwych informacji lub spowodować awarię demona.
Ocena ryzyka
Organizacja może być narażona na wyciek wrażliwych danych lub ataki typu denial of service, co może prowadzić do przestojów w działaniu usług.
Rekomendacja
Zaleca się aktualizację do wersji Cyrus IMAP 3.0.4 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
In the mboxlist_do_find function in imap/mboxlist.c in Cyrus IMAP before 3.0.4, an off-by-one error in prefix calculation for the LIST command caused use of uninitialized memory, which might allow remote attackers to obtain sensitive information or cause a denial of service (daemon crash) via a 'LIST "" "Other Users"' command.