CVE-2025-59419

Nome do Software Vulnerável e Versões Afetadas Versões do Netty anteriores a 4.1.128.Final e 4.2.7.Final

Descrição O Netty contém uma vulnerabilidade de injeção de comando SMTP devido à validação de entrada insuficiente para caracteres de Carriage Return (r) e Line Feed ( ) em parâmetros fornecidos pelo usuário. A vulnerabilidade existe em io.netty.handler.codec.smtp.DefaultSmtpRequest, onde os parâmetros são concatenados diretamente na string de comando SMTP sem sanitização. Quando métodos como SmtpRequests.rcpt(recipient) são chamados com uma string maliciosa contendo sequências CRLF, os atacantes podem injetar comandos SMTP arbitrários. Como os comandos injetados são enviados do endereço IP confiável do servidor, os e-mails resultantes provavelmente passarão nas verificações de autenticação SPF e DKIM, permitindo que os atacantes forjem e-mails provenientes do servidor confiável. Isso pode levar à manipulação econômica, desinformação e ataques de phishing sofisticados. Uma prova de conceito (PoC) está disponível demonstrando a vulnerabilidade contra um servidor SMTP local.

Recomendações Atualize para o Netty versão 4.1.128.Final ou 4.2.7.Final ou posterior.