Ruby net-imap < 0.4.24 / 0.5.x < 0.5.14 / 0.6.x < 0.6.4 の複数の脆弱性

medium Nessus プラグイン ID 313278

Language:

概要

リモートホストに、複数の脆弱性の影響を受けるモジュールがインストールされています。

説明

リモートホストにインストールされている net-imap Ruby ライブラリのバージョンは、0.4.24 より前、0.5.x より前、0.5.14または 0.6.4 より前の 0.6.x です。したがって、複数の脆弱性の影響を受けます。

- Net::IMAP::ResponseReader コンポーネントは、多数の文字列リテラルを含む大規模なサーバー応答を解析する際に、二次時間複雑度の欠陥の影響を受けます。悪意のある IMAP サーバーがこれを悪用して、細工された応答を介してクライアントの CPU リソースを使い果たし、サービス拒否を引き起こす可能性があります。(CVE-2026-42245)

- いくつかの Net::IMAP コマンドが、生文字列引数の適切な検証またはエスケープに失敗します。これらの文字列にユーザー制御データが組み込まれている場合、攻撃者が注入された CRLF シーケンスを利用して、任意の IMAP コマンドを実行する可能性があります。(CVE-2026-42257)

- IMAP コマンドに渡されたシンボル引数は CRLF/IMAP コマンドインジェクションの影響を受けやすくなっています。この脆弱性により、特別に細工されたシンボル引数を介して、任意のIMAPコマンドを挿入することが可能になります。(CVE-2026-42258)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。