PT-2026-36987
CVE-2026-42256
·
تاريخ النشر
2025-06-29
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
net-imap (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يمكن لخادم IMAP ضار أن يُطلق هجومًا حسابيًا لرفض الخدمة على عملية العميل أثناء المصادقة باستخدام
SCRAM-SHA1 أو SCRAM-SHA256. من خلال إرسال عدد تكرارات PBKDF2 كبير بشكل تعسفي في الرسالة الأولى للخادم، يُجبر الخادم العميل على تنفيذ استدعاء مكلف لـ OpenSSL::KDF.pbkdf2 hmac(). ونظرًا لأن هذه الدالة هي امتداد C معطل يحجز قفل Ruby Global VM (آلية تضمن أن خيطًا واحدًا فقط ينفذ كود Ruby في كل مرة)، فإنها قد تؤدي إلى تجميد Ruby VM بالكامل وحظر جميع الخيوط لعدة دقائق، اعتمادًا على الأجهزة وإصدار OpenSSL.التوصيات
قم بالترقية إلى إصدار مُصَحَّح من net-imap واستدعِ
Net::IMAP#authenticate باستخدام حجة الكلمة الرئيسية max iterations مضبوطة على قيمة آمنة مناسبة لسياق الأمان.تجنب استخدام آليات
SCRAM-* عند المصادقة على خوادم غير موثوق بها.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾