Опубликовал shugo 07-07-2021
Перевел: nakilon
В Net::IMAP обнаружена уязвимость StartTLS stripping. Этой уязвимости присвоен идентификатор CVE-2021-32066. Мы настоятельно рекомендуем обновить Ruby.
net-imap является встроенным гемом Ruby 3.0.1, но т.к. есть трудности с его поставкой, следует обновить Ruby целиком.
Подробности
Net::IMAP не генерирует исключение, когда StartTLS прерывает работу с неизвестным ответом, что позволяет обходить защиту TLS атакой man-in-the-middle, блокируя команду StartTLS. Это называется “атака StartTLS”.
Уязвимые версии
- Ruby 2.6: 2.6.7 и ниже
- Ruby 2.7: 2.7.3 и ниже
- Ruby 3.0: 3.0.1 и ниже
Авторство
Благодарим Alexandr Savca за сообщение о проблеме.
История
- Изначально опубликовано в 2021-07-07 09:00:00 UTC