Ruby net-imap < 0.5.15 / 0.6.x < 0.6.4.1 の複数の脆弱性

medium Nessus プラグイン ID 321503

Language:

概要

リモートホストに、複数の脆弱性の影響を受けるモジュールがインストールされています。

説明

リモートホストにインストールされている net-imap Ruby ライブラリのバージョンは、0.5.15 より前か、0.6.4.1 より前の 0.6.x です。
したがって、複数の脆弱性の影響を受けます。

- いくつかの Net::IMAP コマンドは、コマンドインジェクションを防止するために検証後に逐語的に送信される生データ引数を受け入れます。ただし、サーバーが非同期リテラルをサポートしていない場合でも、非同期リテラル内に任意の IMAP コマンドを注入できる可能性があります。(CVE-2026-47240)

- いくつかの Net::IMAP コマンドは、CRLF インジェクションを防ぐためにのみ検証され、その後逐語的に送信される生の文字列引数を受け入れます。この文字列がユーザーコントロール入力に由来する場合、攻撃者は、次のコマンドを最初のコマンドの継続として強制的に吸収させ、サービス拒否を引き起こす可能性があります。(CVE-2026-47241)

- id および enable という 2 つの Net::IMAP コマンドは、引数を検証しません。攻撃者がいずれかのコマンドの引数を利用して、任意の IMAP コマンドを注入する可能性があります。(CVE-2026-47242)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。