CVE-2026-82520

WysokieCVSS 7.5

Opublikowano: 03/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.78%

Percentyl 54 - wyżej niż 54% wszystkich znanych CVE

Streszczenie

parsedmarc przed wersją 11.0.1 dekompresuje załączniki gzip i ZIP w jednym nieograniczonym odczycie bez limitu rozmiaru zdekompresowanego wyjścia. Ponieważ parsedmarc automatycznie przetwarza przychodzące wiadomości e-mail z raportami DMARC bez interakcji użytkownika, nieuwierzytelniony zdalny atakujący może wysłać spreparowaną wiadomość z silnie skompresowanym załącznikiem do monitorowanej skrzynki, powodując przydzielenie pamięci proporcjonalnej do rozmiaru po dekompresji i wyczerpanie dostępnego RAM.

Ocena ryzyka

Ryzyko obejmuje wyczerpanie pamięci RAM, co może prowadzić do odmowy usługi (DoS) i przerwania działania systemu przetwarzającego raporty DMARC.

Rekomendacja

Zaleca się natychmiastową aktualizację parsedmarc do wersji 11.0.1 lub nowszej, która wprowadza limity rozmiaru dekompresji.

Inne podatności w parsedmarc

CVE-2026-82521Średnie
parsedmarc w wersjach od 9.0.6 do przed 11.0.1 zapisuje pliki przykładowe raportów kryminalistycznych, używając ścieżki wyjściowej pochodzącej z tematu wiadomości e-mail. Gdy temat składa się wyłącznie z sekwencji przejść do katalogu nadrzędnego, funkcja sanityzacji nazwy pliku produkuje pusty ciąg, a fallback do nieprzetworzonego tematu powoduje zapis pliku poza zamierzonym katalogiem próbek. Atakujący, który może spowodować przetworzenie raportu o błędzie kryminalistycznym z spreparowanym tematem, może zapisać plik z kropką na początku nazwy i kontrolowaną zawartością w katalogu nadrzędnym skonfigurowanej ścieżki wyjściowej. Wymagane jest włączenie zapisu plików dla próbek raportów kryminalistycznych.

Oryginalny opis (angielski, źródło NVD)

parsedmarc before 11.0.1 decompresses gzip and ZIP attachments in a single unbounded read with no limit on decompressed output size. Because parsedmarc automatically processes incoming DMARC report emails without user interaction, an unauthenticated remote attacker can send a crafted email with a highly compressed attachment to the monitored mailbox, causing the parsedmarc process to allocate memory proportional to the uncompressed size and exhaust available RAM.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS