Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-42258 medium CVSS 5.3

Injection de commande dans net-imap (CVE-2026-42258)

Résumé

Injection de commande dans net-imap (CVE-2026-42258). Les données peuvent être altérées par des attaquants. Exploitable via flag. Atténuation : mise à jour vers 0.4.24 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Summary

Symbol arguments to commands are vulnerable to a CRLF Injection / IMAP Command injection via Symbol arguments passed to IMAP commands.

Details

Symbol arguments represent IMAP "system flags", which are formatted as "atoms" (with no quoting) with a "\" prefix. Vulnerable versions of Net::IMAP sends the symbol name directly to the socket, with no validation.

Because the Symbol input is unvalidated, it could contain invalid flag characters, including SP and CRLF, which could be used to finish the current command and inject new commands.

Although IMAP flag arguments are only valid input for a few IMAP commands, most Net::IMAP commands use generic argument handling, and will allow Symbol (flag) inputs.

Note also that the list of valid symbol inputs should be restricted to an enumerated set of standard RFC defined flag types, which have each been given specific defined semantics. Any user-provided values outside of that list of standard "system flags" needs to use the IMAP keyword syntax, which are sent as atoms, i.e: string inputs. Under no circumstances should #to_sym ever be called on unvetted user-provided input: that will always be a bug in the calling code for the simple reason that user_input_atom is as \user_input_atom.

For forward compatibility with future IMAP extentions, Net::IMAP, does not restrict flag inputs to an enumerated list. That is the responsibility of the calling application code, which knows which flag semantics…

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-42258 a été découverte dans net-imap.
Des attaquants peuvent cibler un point d'entrée spécifique comme flag à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 5.3/10.
Action : mettez à jour net-imap vers 0.4.24 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « net-imap CVE-2026-42258 » sur le site de l'éditeur.

CVE-2026-42258 (net-imap) — CWE-77 / CVSS v3 5.3
Vecteur d'attaque : local / sans interaction utilisateur
Surface d'attaque : flag / CRLF / keyword / user_input_atom
Correctif : 0.4.24 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-77) affecte net-imap. Les attaquants atteignent le code vulnérable via flag.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de net-imap. Surface d'attaque : flag / CRLF / keyword / user_input_atom.

🔥 Gravité

Gravité : Moyenne (CVSS 5.3/10). Les données peuvent être altérées par des attaquants.

🔧 Comment corriger

Mettre à jour vers 0.4.24.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'net-imap' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で net-imap を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply patch patch 
    Upgrade net-imap to 0.4.24

    ステージング環境で 0.4.24 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

rubygems net-imap
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"0.4.24"}]}]

État des correctifs par distribution

Paquets corrigés publiés par chaque distribution pour cette CVE

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus