CVE-2026-116267
Niskie ryzyko· EPSS 7%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Biblioteka MIME::Parser w wersjach przed 5.521 dla Perla pozwala na wyczerpanie pamięci poprzez wcięte komunikaty błędów z obciętej, głęboko zagnieżdżonej wiadomości. Każda zapisana diagnostyka parsera jest wcinana o trzy spacje na poziom zagnieżdżenia, a gdy wiadomość zagnieżdżona N poziomów kończy się bez zamykających granic, każdy poziom loguje błąd na własnej głębokości, więc zapisane diagnostyki rosną kwadratowo względem N. Domyślne ustawienia nie nakładają limitu na głębokość zagnieżdżenia.
Ocena ryzyka
Zdalny atakujący może wysłać głęboko zagnieżdżoną wiadomość MIME bez zamykających granic, powodując wyczerpanie pamięci procesu przetwarzającego pocztę i odmowę usługi. Może to zablokować przetwarzanie poczty dla całej organizacji.
Rekomendacja
Zaktualizuj bibliotekę MIME::Parser do wersji 5.521 lub nowszej. Skonfiguruj limit głębokości zagnieżdżenia wiadomości MIME w procesie przetwarzania poczty.
Inne podatności w MIME::Parser
Zobacz wszystkie- CVE-2026-116273Niskie ryzyko· EPSS 7%
MIME::Parser w wersjach przed 5.521 dla Perla domyślnie nie ogranicza liczby części wiadomości, co pozwala na wyczerpanie pamięci. Opcja max_parts domyślnie wynosiła -1 (brak limitu), a wersja 5.521 ustawia domyślnie max_parts na 1000 i max_depth na 64.
- CVE-2026-42504Wysokie
Dekodowanie złośliwie spreparowanego nagłówka MIME zawierającego wiele nieprawidłowych zakodowanych słów może prowadzić do nadmiernego zużycia procesora (CPU).
Oryginalny opis (angielski, źródło NVD)
MIME::Parser versions before 5.521 for Perl allow memory exhaustion via indented error messages from a truncated, deeply nested message. Each stored parser diagnostic is indented by three spaces per nesting level. When a message nested N levels deep ends without its closing boundaries, every level logs an error at its own depth, so the stored diagnostics grow with the square of N. The defaults place no limit on nesting depth.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS