CVE-2026-42256
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W Net::IMAP dla Ruby (wersje od 0.4.0 do przed 0.4.24, 0.5.0 do przed 0.5.14, 0.6.0 do przed 0.6.4) podczas uwierzytelniania SCRAM-SHA1 lub SCRAM-SHA256, wrogi serwer może przeprowadzić atak DoS poprzez wysłanie dużej wartości licznika iteracji, co obciąża proces klienta.
Ocena ryzyka
Atakujący serwer IMAP może spowodować znaczne obciążenie procesora klienta, prowadząc do odmowy usługi (denial of service).
Rekomendacja
Zaktualizuj Net::IMAP do wersji 0.4.24, 0.5.14 lub 0.6.4 (w zależności od używanej gałęzi).
Oryginalny opis (angielski, źródło NVD)
Net::IMAP implements Internet Message Access Protocol (IMAP) client functionality in Ruby. From versions 0.4.0 to before 0.4.24, 0.5.0 to before 0.5.14, and 0.6.0 to before 0.6.4, when authenticating a connection with SCRAM-SHA1 or SCRAM-SHA256, a hostile server can perform a computational denial-of-service attack on the client process by sending a big iteration count value. This issue has been patched in versions 0.4.24, 0.5.14, and 0.6.4.