CVE-2026-46428
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Błąd odwróconej wartości logicznej w integracji `boring-tls` biblioteki lettre (biblioteka pocztowa dla Rusta) w wersjach od 0.10.1 do 0.11.21 powoduje ciche wyłączenie weryfikacji nazwy hosta TLS dla wywołań korzystających z domyślnej (ścisłej) konfiguracji. Atakujący znajdujący się na ścieżce sieciowej może przedstawić dowolny certyfikat z ważnym łańcuchem dla dowolnej domeny i przechwycić transmisję SMTP, w tym dane uwierzytelniające PLAIN/LOGIN oraz treść wiadomości. Inne backendy TLS (native-tls, rustls) nie są dotknięte. Wersja 0.11.22 zawiera poprawkę.
Ocena ryzyka
Atakujący może przechwycić dane uwierzytelniające i treść wiadomości e-mail, co stanowi poważne zagrożenie dla poufności komunikacji.
Rekomendacja
Zaktualizuj bibliotekę lettre do wersji 0.11.22 lub nowszej, jeśli używasz funkcji `boring-tls`.
Oryginalny opis (angielski, źródło NVD)
lettre is a a mailer library for Rust. Starting in version 0.10.1 and prior to version 0.11.22, an inverted-boolean bug in lettre's `boring-tls` integration silently disables TLS hostname verification for callers using the default (strict) configuration. An on-path attacker presenting any chain-valid certificate for any domain can intercept SMTP submission, including PLAIN/LOGIN credentials and message contents, against any lettre user built with the `boring-tls` feature. Other TLS backends (`native-tls`, `rustls`) are unaffected. Version 0.11.22 patches the issue.