CVE-2017-17846
WysokieStreszczenie
W Enigmail przed wersją 1.9.9 odkryto problem związany z wyrażeniami regularnymi, które mogą być wykorzystywane do ataków typu Denial of Service poprzez próby dopasowania dowolnie długich ciągów.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zablokowania usługi, co może prowadzić do przestojów w działaniu aplikacji i wpływać na dostępność systemu.
Rekomendacja
Zaleca się aktualizację Enigmail do wersji 1.9.9 lub nowszej, aby usunąć tę podatność.
Inne podatności w Enigmail
Zobacz wszystkie- CVE-2017-17848Wysokie
W Enigmail przed wersją 1.9.9 odkryto problem związany z fałszowaniem podpisów w wiadomościach multipart/related. Część wiadomości z podpisem może być odwoływana za pomocą URI cid:, ale nie jest faktycznie wyświetlana, co prowadzi do sytuacji, w której cała wiadomość wydaje się być podpisana, mimo że odbiorca nie widzi żadnego z podpisanych tekstów.
- CVE-2017-17847Wysokie
W Enigmail przed wersją 1.9.9 odkryto problem związany z fałszowaniem podpisów. Interfejs użytkownika nie rozróżnia poprawnie podpisu załącznika od podpisu, który dotyczy całej wiadomości, co może prowadzić do nieautoryzowanego uwierzytelnienia wiadomości.
- CVE-2017-17845Wysokie
W Enigmail przed wersją 1.9.9 odkryto problem związany z niewłaściwym generowaniem losowych sekretów. Użycie Math.Random() przez pretty Easy privacy (pEp) prowadzi do tej podatności.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Enigmail before 1.9.9. Regular expressions are exploitable for Denial of Service, because of attempts to match arbitrarily long strings, aka TBE-01-003.