CVE-2026-73209

ŚrednieCVSS 6.5

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 28/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

Atakujący z prawidłowymi danymi uwierzytelniającymi może wysłać spreparowane skompresowane dane, które powodują wyczerpanie stosu i awarię procesu. Dotknięty proces jest kończony, co może powodować degradację lub denial of service dla IMAP. Aktualizacja do niepodatnej wersji jest zalecana. Nie są znane publiczne exploity.

Ocena ryzyka

Atakujący z dostępem do IMAP może spowodować awarię procesu, co prowadzi do niedostępności usługi pocztowej.

Rekomendacja

Zaktualizuj oprogramowanie do wersji niepodatnej, która zawiera poprawkę na przetwarzanie skompresowanych danych.

Inne podatności w IMAP

CVE-2026-40203Niskie
Gdy kompresja IMAP jest włączona, ten sam stan kompresji jest ponownie używany w odpowiedziach w sesji, więc rozmiary odpowiedzi zależą zarówno od poczty dostarczonej przez atakującego, jak i od innej poczty w tej samej skrzynce. Atakujący, który może wysyłać pocztę do użytkownika i obserwować rozmiary ruchu IMAP tego użytkownika, może potwierdzić, czy treść małej wiadomości pasuje do odgadniętego tekstu. Nie wykazano odzyskiwania dowolnej nieznanej treści, ale atak może ujawnić, czy treść wiadomości przypominającej sekret pasuje do kandydata.

Oryginalny opis (angielski, źródło NVD)

An attacker that has valid credentials can send crafted compressed data that causes the affected process to exhaust its stack and crash. The affected process is terminated, which can cause degradation or denial of service for IMAP. Update to non-vulnerable version. No publicly available exploits are known.