Злоумышленник, не прошедший проверку подлинности, может отправить команду IMAP ID с очень большим количеством параметров перед входом в систему, что приводит к непропорциональному росту использования памяти и ЦП. Процесс входа в систему может быть прерван обработкой нехватки памяти, которая также завершает все другие соединения, обрабатываемые тем же процессом. Это может привести к ухудшению качества или отказу в обслуживании для входов в систему IMAP.
Ограничьте количество соединений, обрабатываемых одним процессом imap-login. Однако это влияет на производительность. Обновите до неуязвимой версии.
Никаких общедоступных эксплойтов неизвестно.
Показать оригинальное описание (EN)
An unauthenticated attacker can send an IMAP ID command with a very large number of parameters before logging in, which causes memory and CPU usage to grow disproportionately. The login process can be terminated by the out-of-memory handling, which also terminates all other connections handled by the same process. This can cause degradation or denial of service for IMAP logins. Limit the number of connections handled by a single imap-login process. This has a performance impact though. Update to non-vulnerable version. No publicly available exploits are known.
Характеристики атаки
Последствия
Строка CVSS v3.1