CVE-2025-59045

Stalwart bir posta ve iş birliği sunucusudur. 0.12.0 sürümünden itibaren ve 0.13.3 sürümünden önce, Stalwart'ın CalDAV uygulamasında kimliği doğrulanmış saldırganların yinelenen etkinlik genişletmesi yoluyla sınırsız bellek tüketimini tetikleyerek hizmet reddine neden olmasına olanak tanıyan bir bellek tükenmesi güvenlik açığı bulunmaktadır. Kimliği doğrulanmış bir saldırgan, büyük yükler içeren yinelenen etkinlikler oluşturarak ve bunların genişletilmesini CalDAV REPORT istekleri aracılığıyla tetikleyerek Stalwart sunucusunu çökertebilir. 1000 karakterlik açıklamalarla 300 etkinliği genişleten tek bir kötü amaçlı istek 2 GB'a kadar bellek tüketebilir. Güvenlik açığı, etkinlik genişletmesi içeren CalDAV `REPORT` isteklerini işleyen `ArchivedCalendarEventData.expand` işlevinde bulunmaktadır. Bir istemci yinelenen etkinlikleri `<C:expand>` öğesini kullanarak genişletilmiş biçimlerinde talep ettiğinde, sunucu genişletilmiş tüm etkinlik örneklerini boyut sınırları uygulamadan bellekte saklar. Kullanıcılar düzeltmeyi almak için Stalwart 0.13.3 veya sonraki bir sürüme yükseltme yapmalıdır. Hemen yükseltme mümkün değilse, konteyner/sistem düzeyinde bellek sınırları uygulayın; sunucu bellek kullanımını olağandışı artışlar için izleyin; CalDAV REPORT isteklerini hız sınırlamayı düşünün; ve CalDAV erişimini yalnızca güvenilir kullanıcılarla kısıtlayın.