PT-2026-37183
CVE-2026-42246
·
تاريخ النشر
2025-06-29
·
تاريخ التحديث
2026-10-19
الوصف من
CVSS 4.0
7.6
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Net::IMAP الأقدم من 0.3.10
إصدارات Net::IMAP الأقدم من 0.4.24
إصدارات Net::IMAP الأقدم من 0.5.14
إصدارات Net::IMAP الأقدم من 0.6.4
الوصف
يمكن لمهاجم من نوع «الرجل في الوسط» (man-in-the-middle) أن يجعل الدالة
starttls() تُرجع نتيجة ناجحة دون إقامة اتصال TLS فعليًا. يحدث هذا عندما يقوم المهاجم بإدخال استجابة «OK» مُعلمة بعلامة يمكن التنبؤ بها قبل أن ينتهي العميل من إرسال الأمر، مما يؤدي إلى إكمال الأمر قبل تسجيل معالج الاستجابة. وينتج عن ذلك هجوم «STARTTLS stripping»، حيث يظل المأخذ غير مشفر، مما يؤدي إلى إرسال المعلومات الحساسة بنص عادي.التوصيات
التحديث إلى الإصدار 0.3.10.
التحديث إلى الإصدار 0.4.24.
التحديث إلى الإصدار 0.5.14.
التحديث إلى الإصدار 0.6.4.
الاتصال بمنفذ TLS ضمني بدلاً من استخدام STARTTLS مع منفذ نص عادي.
التحقق صراحةً من أن
tls verified? قيمتها «صحيح» قبل استخدام الاتصال بعد استدعاء starttls().قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾