CVE-2026-40016
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Atakujący może przesłać złośliwy skrypt Sieve przez usługę ManageSieve (lub lokalnie), aby obejść skonfigurowane limity czasu CPU dla Sieve nawet do 130 razy powyżej ustalonego limitu. Może to zdegradować wydajność serwera i obejść limity czasu CPU dla skryptów Sieve. Nie są znane publicznie dostępne exploity.
Ocena ryzyka
Atakujący może wykorzystać obejście limitów do degradacji wydajności serwera pocztowego, potencjalnie prowadząc do odmowy usługi (DoS) dla innych użytkowników. Wymaga to możliwości przesyłania skryptów Sieve.
Rekomendacja
Zainstaluj poprawioną wersję oprogramowania. Alternatywnie zablokuj bezpośredni dostęp do skryptów Sieve przez ManageSieve lub dostęp lokalny.
Inne podatności w ManageSieve
Zobacz wszystkie- CVE-2026-27858Wysokie
Podatność w managesieve pozwala atakującemu przed uwierzytelnieniem wysłać specjalnie spreparowaną wiadomość, która powoduje alokację dużej ilości pamięci. Może to doprowadzić do awarii procesu managesieve-login i uniemożliwienia korzystania z protokołu.
- CVE-2025-59032Wysokie
Podatność w ManageSieve powoduje awarię usługi podczas przetwarzania komendy AUTHENTICATE z literałem jako początkową odpowiedzią SASL. Może to być wykorzystane do wielokrotnego zawieszania usługi, czyniąc ją niedostępną dla innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Attacker can upload a malicious Sieve script over ManageSieve service (or locally) to bypass configured CPU time limits for Sieve up to 130 times of the configured limit. Attacker can use this to degrade server performance and bypass configured CPU time limits for Sieve scripts. Install fixed version, or alternatively prevent direct access to Sieve scripts via ManageSieve or local access. No publicly available exploits are known.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS