Podatności Nodemailer

Podatność w pakiecie nodemailer (npm) dotyczy wersji od 2.7.2 do 10.0.1. Szczegóły podatności nie są w pełni opisane w dostarczonym fragmencie, ale potwierdzono podatne wersje.

W nodemailer v9.0.0 opcja `raw` na poziomie wiadomości omija zabezpieczenia `disableFileAccess` i `disableUrlAccess`, umożliwiając odczyt dowolnych plików oraz pełny atak SSRF (Server-Side Request Forgery) w wysyłanej wiadomości.

Nodemailer wyłącza weryfikację certyfikatów TLS w swoim wewnętrznym kliencie HTTPS, ustawiając rejectUnauthorized: false w pliku lib/fetch/index.js. Powoduje to, że żądania tokenów OAuth2 ufają nieprawidłowym lub samopodpisanym certyfikatom HTTPS.

Podatność w bibliotece Nodemailer umożliwia wstrzyknięcie nagłówków poprzez pole `list.*.comment`, które nie jest oczyszczane ze znaków CR (`\r`) i LF (`\n`). Atakujący może dostarczyć złośliwą wartość w tym polu, co prowadzi do fałszowania nagłówków wiadomości e-mail.

Podatność w Nodemailer pozwala na obejście opcji `disableFileAccess` i `disableUrlAccess` w przypadku korzystania z `jsonTransport`. Mimo że normalny strumień MIME wymusza te ograniczenia, `jsonTransport` serializuje wiadomość w sposób, który je pomija, umożliwiając potencjalny dostęp do lokalnych plików lub zewnętrznych URL-i.

Klient SMTP Nodemailer stosuje cztery wyrażenia regularne do odpowiedzi EHLO w celu wykrycia mechanizmów SASL. Każdy wzorzec zawiera nakładające się podwzorce dopasowujące białe znaki, co powoduje kwadratowe (O(n^2)) cofanie przy długich nazwach mechanizmów.

Parser adresów Nodemailer ma trzy opublikowane i załatane poprawki dotyczące obsługi komentarzy RFC 5322 w addr-spec. Opis obejmuje wcześniejsze problemy ze sklejaniem atomów domeny i lokalnej części oraz powiązane poprawki ReDoS.

Parser odpowiedzi klienta SMTP w Nodemailer składa wielowierszowe odpowiedzi serwera, dołączając każdą linię kontynuacji do jednego wpisu i ponownie testując, czy jest to odpowiedź częściowa. Test częściowej odpowiedzi wykonuje operacje na łańcuchach przy każdej linii, co może prowadzić do nieefektywnego przetwarzania.

Parser adresów e-mail w Nodemailer (lib/addressparser/index.js) przetwarza listę adresów oddzielonych przecinkami w czasie kwadratowym (O(n²)) w zależności od liczby adresów. Pojedynczy spreparowany ciąg adresów (np. w polach To, Cc, Bcc, From, Reply-To) może spowodować znaczne spowolnienie.

Opcje disableFileAccess i disableUrlAccess w Nodemailer służą jako piaskownica uniemożliwiająca niezaufanej treści wiadomości czytanie lokalnych plików lub wykonywanie żądań HTTP(S). Poprawka dla wcześniejszej podatności (GHSA-wqvq-jvpq-h66f) może być niekompletna, umożliwiając obejście zabezpieczeń.

Parser adresów e-mail w Nodemailer traktuje komentarz RFC 5322 (w nawiasach) w domenie jako miejsce łączenia tekstu, zamiast jako białe znaki składane (CFWS), które kończą domenę. To może prowadzić do błędnego parsowania adresu, np. [email protected](x)evil.c..., umożliwiając atakującemu przekierowanie wiadomości lub obejście walidacji.

Nodemailer rozwiązuje międzynarodowe (IDN / nie-ASCII) domeny odbiorcy na inny etykietę Punycode (xn--) niż standardowe parsery zgodne z UTS-46 (np. przeglądarki, URL Standard, Node's url.domainToASCII, Python's idna). Jego normalizator adresów _normalizeAddress może prowadzić do błędnego rozpoznania domeny, co może być wykorzystane do ataków typu phishing lub przejęcia wiadomości.

Globalna pamięć podręczna DNS w Nodemailer jest kluczowana tylko według `host`, ale każdy wpis przechowuje również specyficzny dla wywołującego `servername` TLS. Gdy dwa bezpośrednie transporty SMTPS używają tego samego hosta DNS z różnymi wartościami `tls.servername`, nazwa serwera z pierwszego transportu jest zwracana do drugiego.

Nodemailer przed wersją 8.0.4 jest podatny na wstrzykiwanie komend SMTP przez niesanityzowany parametr envelope.size. Gdy aplikacja przekazuje niestandardowy obiekt envelope z właściwością size zawierającą znaki CRLF do sendMail(), wartość jest konkatenowana do komendy SMTP MAIL FROM (jako SIZE=...) bez sanityzacji, co pozwala na wstrzyknięcie dowolnych komend SMTP, takich jak RCPT TO, w celu cichego dodania adresatów kontrolowanych przez atakującego.

Nodemailer od wersji 3.0.0 przed 10.1.4 zawiera lukę w parsowaniu adresów w addressparser, która kończy angle-addr na znaku '>' wewnątrz cytowanej części lokalnej, komentarza lub literału domeny. Atakujący mogą przesłać adresy, które przechodzą walidację jako dozwolona domena, ale są dostarczane do domeny kontrolowanej przez atakującego, omijając listy dozwolonych odbiorców i ujawniając treść wiadomości.

Nodemailer od wersji 3.0.0 przed 10.1.4 zawiera błąd parsowania w addressparser, który kończy grupę RFC 5322 na średniku wewnątrz cytowanych nazw wyświetlanych lub komentarzy. Atakujący mogą przesłać spreparowane adresy grupowe, które przechodzą walidację, przekierowując pocztę do wybranych przez atakującego odbiorców i omijając listy dozwolonych odbiorców.

Nodemailer od wersji 3.0.0 przed 10.1.4 zawiera lukę w parsowaniu adresów w addressparser, która pozwala zdalnym atakującym przekierowywać odbiorców poprzez zakończenie zagnieżdżonych komentarzy RFC 5322 na pierwszym nawiasie zamykającym. Atakujący mogą przesłać adresy, których zagnieżdżony komentarz ukrywa adres atakującego, omijając walidatory i listy dozwolonych odbiorców, aby odbierać pocztę lub podszywać się pod nadawców w mailparser.

Nodemailer od wersji 3.0.0 do 10.0.10 zawiera podatność na odmowę usługi o złożoności kwadratowej w parserze odpowiedzi klienta SMTP (SMTPConnection._onData i isPartialResponse). Złośliwy serwer SMTP lub atakujący w ścieżce może strumieniować linie kontynuacji bez linii kończącej przed uwierzytelnieniem, blokując pętlę zdarzeń Node.js i wyczerpując pamięć.

Nodemailer od wersji 3.0.0 do 10.0.10 zawiera podatność na odmowę usługi w MessageParser.parseHeaders, umożliwiającą wyczerpanie CPU przez kwadratowe rozwijanie nagłówków. Atakujący mogą dostarczyć duże listy odbiorców lub długie nagłówki rozwijające się do dziesiątek tysięcy linii kontynuacji, blokując pętlę zdarzeń Node.js podczas podpisywania DKIM.

Nodemailer od wersji 3.0.0 do 10.0.13 zawiera podatność niewłaściwej walidacji danych wejściowych w parserze adresów, który nie usuwa komentarzy RFC 5322 wewnątrz adresów w nawiasach kątowych. Atakujący mogą podać odbiorców z komentarzem w nawiasach w domenie, przez co nielegalne znaki trafiają do envelope.to i RCPT TO, powodując odrzucenie dostarczenia lub konflikty interpretacji parsera omijające listy dozwolonych domen.

Nodemailer w wersjach od 3.0.0 do 10.0.13 zawiera podatność typu regular expression denial of service w metodzie SMTPConnection._actionEHLO. Złośliwy lub pośredniczący serwer SMTP może odpowiedzieć na EHLO ciągiem 250-AUTH z długim ciągiem białych znaków i niedopasowanym tokenem, blokując pętlę zdarzeń Node.js na dziesiątki sekund lub godziny przed uwierzytelnieniem.

Nodemailer przed wersją 10.0.2 nie spłaszcza poprawnie głęboko zagnieżdżonych tablic w polach odbiorców, takich jak to, cc i bcc, co pozwala atakującym spowodować wyczerpanie stosu. Atakujący może dostarczyć głęboko zagnieżdżoną tablicę JSON odbiorców, która wyzwala rekurencyjną konwersję Array.toString(), wyczerpując stos i kończąc proces Node.js.

Nodemailer w wersjach 5.0.0 do 10.0.1 używa globalnej pamięci podręcznej DNS, która jest kluczowana tylko przez host DNS, podczas gdy każdy wpis pamięci podręcznej przechowuje również specyficzny dla wywołującego serwer TLS (servername). Gdy dwa transporty direct TLS/SMTPS (secure: true) rozwiązują ten sam host nie-IP z różnymi wartościami tls.servername, servername pierwszego transportu jest zwracane przy trafieniu w pamięć podręczną i nadpisuje jawnie skonfigurowaną wartość drugiego transportu, więc Nodemailer wysyła błędną wartość SNI i waliduje certyfikat peera względem błędnej tożsamości. W usługach wielodostępnych lub bramkach SMTP z routingiem SNI, atakujący, który może zainicjować pamięć podręczną, może spowodować, że transport ofiary połączy się z wirtualnym hostem TLS atakującego i zaakceptuje certyfikat atakującego nawet przy rejectUnauthorized: true, ujawniając poświadczenia SMTP ofiary. Naprawione w 10.0.2.

nodemailer w wersjach przed 10.0.6 zawiera podatność typu denial of service w wyrażeniu regularnym fallbacku free-text parsera adresów, które wykazuje kwadratowe zachowanie backtrackingu. Atakujący mogą dostarczyć spreparowane wartości nagłówków e-mail z długimi ciągami bez spacji, aby zablokować pętlę zdarzeń Node.js na dziesiątki sekund, powodując niedostępność usługi.

Nodemailer to biblioteka do wysyłania e-maili w Node.js. W wersjach >= 9.1.0 i < 10.0.9 parser adresów (src/addressparser) błędnie obsługuje adresy, których część lokalna jest ciągiem w cudzysłowie i które są poprzedzone komentarzami RFC 5322, co pozwala na zachowanie końcowych atomów domeny oddzielonych komentarzami w znormalizowanym adresie. Na przykład wejście "user"@example.com(x)evil.com jest parsowane do wartości adresu '[email protected] evil.com', która zawiera dodatkowy tekst domeny kontrolowany przez atakującego, oddzielony spacją. Ta sparsowana wartość jest używana bez dalszej ścisłej walidacji odbiorcy podczas budowania koperty wiadomości (envelope.to w src/mime-node), więc nieprawidłowy/niejednoznaczny adres odbiorcy może zostać zaakceptowany i umieszczony w kopercie SMTP. Nie potwierdzono, czy skutkuje to dostarczeniem do niezamierzonego odbiorcy na prawdziwych serwerach SMTP. Problem jest wariantem problemu parsowania komentarzy RFC 5322 opisanego w GHSA-cc9r-2j5m-2m83, dotyczącym osobnej ścieżki kodu z cytowaną częścią lokalną. Wersja 10.0.9 zawiera poprawkę.

Nodemailer przed wersją 9.1.0 nie stosuje normalizacji UTS-46 przy kodowaniu międzynarodowych nazw domen, przez co resolver domen oblicza inny A-label Punycode niż parsery zgodne ze standardem. Atakujący może tworzyć adresy odbiorców z niewidocznymi znakami lub mapowaniami zgodności, które przechodzą kontrolę listy dozwolonych domen, ale są dostarczane do domen kontrolowanych przez atakującego przez SMTP.

Nodemailer w wersjach od 6.9.16 do 9.1.0 błędnie parsuje komentarze RFC 5322 w adresach e-mail. Komentarz zamknięty bezpośrednio przed znakiem niebędącym białym znakiem powoduje sklejenie atomów wokół komentarza, przez co adres taki jak [email protected](x)evil.com jest interpretowany jako domena good-corp.comevil.com. Może to prowadzić do dostarczenia wiadomości do domeny kontrolowanej przez atakującego. Naprawiono w wersji 9.1.0.

Nodemailer przed wersją 9.1.0 zawiera podatność na kwadratową złożoność czasową w komponencie addressparser, która pozwala zdalnym atakującym wywołać odmowę usługi poprzez dostarczenie spreparowanej listy adresów oddzielonych przecinkami. Atakujący może wysłać pojedynczy e-mail z dużą liczbą adresów, aby zablokować pętlę zdarzeń Node.js na dłuższy czas, zużywając 100% CPU i zamrażając proces.

Nodemailer w wersjach 9.1.0 i wcześniejszych nie respektuje opcji sandboxa disableFileAccess i disableUrlAccess, gdy treść wiadomości jest rozwiązywana przez publiczne API pluginów MailMessage.resolveContent() z użyciem starej trzyargumentowej sygnatury. W efekcie kod pluginu lub aplikacji może zostać zmuszony do odczytu dowolnych plików lokalnych lub wykonania wychodzących żądań HTTP(S) (SSRF), omijając włączony sandbox. Naprawiono w wersji 9.1.1.

Biblioteka Nodemailer w wersjach 9.1.0 do 10.0.4 zawiera podatność na atak typu denial of service wynikającą z kwadratowej złożoności obliczeniowej w komponencie addressparser podczas przetwarzania adresów e-mail z komentarzami zgodnymi z RFC 5322. Atakujący może przygotować złośliwe nagłówki e-mail z atomami rozdzielonymi komentarzami, co powoduje nadmierne zużycie CPU i blokuje pętlę zdarzeń Node.js na kilka sekund.

Nodemailer przed wersją 8.0.5 zawiera podatność na wstrzykiwanie komend SMTP w opcji nazwy transportu używanej w komendach EHLO/HELO. Parametr name jest konkatenowany bezpośrednio do komend SMTP bez sanityzacji znaków powrotu karetki i nowej linii, co pozwala atakującym na wstrzyknięcie dowolnych komend SMTP w celu fałszowania e-maili i ataków phishingowych.

Nodemailer przed wersją 8.0.8 wyłącza weryfikację certyfikatów TLS w pliku lib/fetch/index.js przez ustawienie rejectUnauthorized: false, co umożliwia atakującym przechwycenie żądań tokenów OAuth2. Atakujący w pozycji man-in-the-middle mogą przechwycić sekrety klienta OAuth, tokeny odświeżania i tokeny dostępu przesyłane przez skompromitowane połączenia HTTPS.

Nodemailer przed wersją 8.0.9 nie sanityzuje znaków powrotu karetki i nowej linii w polach komentarzy list, co umożliwia atakującym wstrzyknięcie dowolnych nagłówków wiadomości. Atakujący kontrolujący parametry list.*.comment może wstrzyknąć sekwencje CRLF, tworząc dodatkowe nagłówki w generowanych wiadomościach RFC822, co zmienia zachowanie klienta poczty i semantykę wiadomości.

Nodemailer przed wersją 8.0.9 nie egzekwuje opcji disableFileAccess i disableUrlAccess podczas normalizacji wiadomości w jsonTransport. Atakujący mogą odczytywać lokalne pliki lub pobierać adresy URL, podając wartości path lub href w polach treści wiadomości, omijając zamierzone kontrolki dostępu.

nodemailer przed wersją 9.0.1 nie stosuje flag disableFileAccess i disableUrlAccess do opcji raw na poziomie wiadomości, co pozwala uwierzytelnionym atakującym na odczyt dowolnych plików lub przeprowadzenie ataku SSRF poprzez podanie właściwości path lub href. Atakujący mogą wykorzystać to, tworząc surowe wiadomości ze ścieżkami plików lub adresami URL, które omijają zamierzoną piaskownicę, a pobrana treść jest dostarczana w wychodzącej wiadomości do kontrolowanych przez atakującego odbiorców.

Nodemailer przed wersją 6.9.9 zawiera podatność na regular expression denial of service (ReDoS) w parsowaniu e-maili, gdy ustawiony jest parametr attachDataUrls lub podczas przetwarzania osadzonych załączników. Atakujący mogą wysyłać specjalnie spreparowane e-maile ze złośliwymi adresami URL danych lub osadzonymi załącznikami, powodując zawieszenie pętli zdarzeń i odmowę usługi.