PT-2025-42370
CVE-2025-59419
·
تاريخ النشر
2025-10-15
·
تاريخ التحديث
2026-10-09
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Netty الأقدم من 4.1.128.Final و4.2.7.Final
الوصف
يحتوي Netty على ثغرة أمنية تتعلق بحقن أوامر SMTP بسبب عدم كفاية التحقق من صحة المدخلات الخاصة بأحرف Carriage Return (r) و Line Feed (
) في المعلمات التي يقدمها المستخدم. توجد الثغرة الأمنية في
io.netty.handler.codec.smtp.DefaultSmtpRequest، حيث يتم ربط المعلمات مباشرةً في سلسلة أوامر SMTP دون تعقيم. وعندما يتم استدعاء طرق مثل SmtpRequests.rcpt(recipient) باستخدام سلسلة خبيثة تحتوي على تسلسلات CRLF، يمكن للمهاجمين حقن أوامر SMTP تعسفية. ونظرًا لأن الأوامر المُحقنة تُرسَل من عنوان IP الموثوق به الخاص بالخادم، فمن المرجح أن تجتاز رسائل البريد الإلكتروني الناتجة عمليات التحقق من المصادقة SPF وDKIM، مما يسمح للمهاجمين بتزوير رسائل بريد إلكتروني تبدو وكأنها صادرة عن الخادم الموثوق به. وقد يؤدي ذلك إلى التلاعب الاقتصادي ونشر المعلومات المضللة وهجمات التصيد الاحتيالي المتطورة. يتوفر دليل إثبات المفهوم (PoC) يوضح هذه الثغرة الأمنية في خادم SMTP محلي.التوصيات
قم بالتحديث إلى إصدار Netty 4.1.128.Final أو 4.2.7.Final أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾