CVE-2026-42245
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Net::IMAP w Ruby ma problem z kwadratową złożonością czasową podczas odczytu dużych odpowiedzi zawierających wiele literałów łańcuchowych. Wrogi serwer może wysłać spreparowane odpowiedzi, które przeciążą procesor klienta, prowadząc do ataku typu odmowa usługi (DoS).
Ocena ryzyka
Atakujący może zdalnie wyczerpać zasoby CPU klienta IMAP, powodując niedostępność usługi dla użytkowników.
Rekomendacja
Zaktualizuj bibliotekę Net::IMAP do wersji 0.4.24, 0.5.14 lub 0.6.4, w zależności od używanej gałęzi.
Inne podatności w Net::IMAP
Zobacz wszystkie- CVE-2026-42257Krytyczne
Net::IMAP implementuje funkcjonalność klienta IMAP w Ruby. Przed wersjami 0.4.24, 0.5.14 i 0.6.4 kilka poleceń Net::IMAP akceptuje surowy argument ciągu, który jest wysyłany do serwera bez walidacji lub ucieczki. Jeśli ten ciąg pochodzi z danych kontrolowanych przez użytkownika, może zawierać sekwencje CRLF, które atakujący może wykorzystać do wstrzyknięcia dowolnych poleceń IMAP.
- CVE-2026-47242Średnie
W bibliotece Net::IMAP w Ruby występuje podatność, która pozwala na wstrzykiwanie dowolnych poleceń IMAP poprzez nieprawidłową walidację argumentów w metodach #id i #enable. Problem ten dotyczy wersji przed 0.6.5 i 0.5.15.
- CVE-2026-47241Niskie
Net::IMAP w Ruby przed wersjami 0.6.5 i 0.5.15 ma podatność, która pozwala na wstrzyknięcie dodatkowych poleceń przez atakującego. Wykorzystując nieprawidłowo walidowane argumenty, atakujący może zmusić pierwsze polecenie do oczekiwania na zakończenie innego polecenia.
- CVE-2026-47240Średnie
W bibliotece Net::IMAP w Ruby występuje podatność, która pozwala na wstrzyknięcie dowolnych poleceń IMAP w przypadku, gdy serwer nie obsługuje literałów niesynchronizujących. Wersje przed 0.6.5 i 0.5.15 są narażone na atak, który może prowadzić do wykonania nieautoryzowanych poleceń.
- CVE-2026-42258Średnie
Biblioteka Net::IMAP w Ruby przed wersjami 0.4.24, 0.5.14 i 0.6.4 jest podatna na wstrzyknięcie CRLF / komend IMAP poprzez argumenty symboliczne przekazywane do komend IMAP.
- CVE-2026-42256Średnie
W Net::IMAP dla Ruby (wersje od 0.4.0 do przed 0.4.24, 0.5.0 do przed 0.5.14, 0.6.0 do przed 0.6.4) podczas uwierzytelniania SCRAM-SHA1 lub SCRAM-SHA256, wrogi serwer może przeprowadzić atak DoS poprzez wysłanie dużej wartości licznika iteracji, co obciąża proces klienta.
- CVE-2026-42246Wysokie
W bibliotece Net::IMAP dla Ruby przed wersjami 0.3.10, 0.4.24, 0.5.14 i 0.6.4 atakujący typu man-in-the-middle może sprawić, że metoda starttls zwróci 'sukces' bez faktycznego uruchomienia TLS.
Oryginalny opis (angielski, źródło NVD)
Net::IMAP implements Internet Message Access Protocol (IMAP) client functionality in Ruby. Prior to versions 0.4.24, 0.5.14, and 0.6.4, Net::IMAP::ResponseReader has quadratic time complexity when reading large responses containing many string literals. A hostile server can send responses which are crafted to exhaust the client's CPU for a denial of service attack. This issue has been patched in versions 0.4.24, 0.5.14, and 0.6.4.