Ruby net-imap < 0.3.10 / 0.4.x < 0.4.24 / 0.5.x < 0.5.14 / 0.6.x < 0.6.4 の脆弱性

high Nessus プラグイン ID 313279

Language:

概要

リモートホストに、中間者の脆弱性に影響を受けるアプリケーションがインストールされています。

説明

リモートホストにインストールされている net-imap Ruby ライブラリのバージョンは、 0.3.10 より前、 0.4.x より前、 0.4.24 より前、 0.5.x0.5.14 より前、または 0.6.x より前 0.6.4です。このため、中間者の脆弱性の影響を受けます。

Net::IMAP#starttls 関数の欠陥により、中間攻撃者が暗号化 TLS 接続へのアップグレードをバイパスする可能性があります。攻撃者は、特別に作り上げられた応答を注入することで、実際に TLS 暗号化を確立せずに、コマンドが成功したかのようにライブラリを続行させることができます。このため、ソケットが暗号化されないままになり、クライアントが暗号化ステータスを特に検証しない限り、平文通信を傍受される可能性があります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。