CVE-2026-30227
Açıklama
MimeKit, çok sayıda IETF spesifikasyonu tarafından tanımlanan Multipurpose Internet Mail Extension (MIME) kullanılarak mesajların oluşturulması ve ayrıştırılması için kullanılan bir C# kütüphanesidir. Versiyon 4.15.1 öncesinde, MimeKit'teki bir CRLF injection zafiyeti, saldırganın SMTP zarf adresi local-part kısmına (local-part tırnak içine alınmış bir dize olduğunda) \r\n yerleştirmesine olanak tanır. Bu durum RFC 5321 ile uyumsuzdur ve uygulamanın mesajları oluşturmak ve göndermek için MailKit/MimeKit'i nasıl kullandığına bağlı olarak SMTP komut enjeksiyonuna (örneğin ek RCPT TO / DATA / RSET komutlarının enjekte edilmesi) ve/veya e-posta üstbilgi (header) enjeksiyonuna yol açabilir. Sorun, saldırganın daha sonra bir SMTP oturumuna serileştirilen bir MailboxAddress (MAIL FROM / RCPT TO) değerini etkileyebildiği durumlarda istismar edilebilir hale gelir. RFC 5321, SMTP posta kutusu local-part gramerini açıkça tanımlar ve Quoted-string içinde CR (13) veya LF (10) karakterlerine izin vermez (qtextSMTP ve quoted-pairSMTP aralıkları kontrol karakterlerini hariç tutar). SMTP komutları <CRLF> ile sonlandırıldığından, komut argümanlarındaki CRLF injection özellikle tehlikelidir. Bu sorun versiyon 4.15.1 ile düzeltilmiştir.
Nasıl düzeltilir
- jstedfast mimekit4.15.1 ya da sonraki bir sürüm
- MimeKit4.15.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jstedfast mimekit | v < 4.15.1 | 4.15.1 |
| MimeKitNuGet | v < 4.15.1 | 4.15.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.