GHSA-mvxr-6m87-mv2q
ŚrednieStreszczenie
Podatność w bibliotece Mail dotyczy funkcji q_value_decode i b_value_decode, które dekodują tylko pierwsze zakodowane słowo RFC 2047 w ciągu znaków i używają zbyt zachłannego wzorca do dopasowania tokenu zestawu znaków. Specjalnie spreparowane, nieprawidłowe zakodowane słowo osadzone w nazwie wyświetlanej adresu lub części lokalnej może spowodować nieprawidłowe dekodowanie.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może wykorzystać tę podatność do manipulacji danymi wyświetlanymi w adresach e-mail, co może prowadzić do spoofingu lub obejścia filtrów bezpieczeństwa. Może to narazić organizację na ataki phishingowe lub inne oszustwa oparte na fałszywych adresach.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki Mail do najnowszej wersji zawierającej poprawkę. Należy również przejrzeć kod aplikacji pod kątem użycia funkcji q_value_decode i b_value_decode i dostosować go do nowego zachowania.
Inne podatności w Mail
Zobacz wszystkie- CVE-2017-13874Wysokie
W produktach Apple, w tym iOS przed wersją 11.2, odkryto problem związany z komponentem 'Mail'. Umożliwia on zdalnym atakującym ominięcie zamierzonego mechanizmu ochrony szyfrowania poprzez niewłaściwy wybór certyfikatu S/MIME.
- CVE-2017-13871Wysokie
W produktach Apple, w tym w macOS przed wersją 10.13.2, odkryto problem związany z komponentem 'Mail'. Umożliwia on zdalnym atakującym odczytanie treści e-maili w postaci niezaszyfrowanej, które miały być chronione przez szyfrowanie S/MIME.
- CVE-2016-4689Wysokie
W niektórych produktach Apple, w tym iOS przed wersją 10.2, zidentyfikowano problem związany z komponentem 'Mail'. Problem polega na tym, że użytkownik nie jest informowany o podpisie S/MIME e-maila, który używa unieważnionego certyfikatu.
- CVE-2026-63435Średnie
Mail to biblioteka internetowa dla Ruby do obsługi poczty e-mail. Przed wersją 2.9.1 funkcje Mail::Utilities.q_value_decode i Mail::Utilities.b_value_decode używały pojedynczego dopasowania String#match i zbyt zachłannego przechwytywania zestawu znaków do dekodowania tylko pierwszego zakodowanego słowa RFC 2047, nieprawidłowo obsługując otaczający lub kolejny tekst. Spreparowane nieprawidłowe zakodowane słowo w nazwie wyświetlanej adresu lub części lokalnej może przekroczyć ograniczniki ? i spowodować, że zdekodowane wartości nagłówków From, To lub Reply-To będą różnić się od surowych wartości sprawdzanych przez człowieka lub dalszy parser, umożliwiając podszywanie się pod nadawcę lub odbiorcę, phishing lub obejście kontroli autoryzacji. Problem naprawiono w wersji 2.9.1.
Oryginalny opis (angielski, źródło NVD)
## Summary Mail::Utilities.q_value_decode and Mail::Utilities.b_value_decode decoded only the first RFC 2047 encoded-word in a string and used an overly greedy pattern to match the charset token. A crafted, malformed encoded-word embedded in an address display name or local part could cause the dec
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS