Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2025-05909

Опубликовано: 28 апр. 2025
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость модуля Net::IMAP языка программирования Ruby связана с неконтролируемым распределением памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Red Hat Inc.
Сообщество свободного программного обеспечения
Ruby Team

Наименование ПО

Red Hat Enterprise Linux
Red Hat 3scale API Management Platform
Debian GNU/Linux
Logging subsystem for Red Hat OpenShift
Ruby

Версия ПО

8 (Red Hat Enterprise Linux)
2 (Red Hat 3scale API Management Platform)
12 (Debian GNU/Linux)
9 (Red Hat Enterprise Linux)
- (Logging subsystem for Red Hat OpenShift)
до 0.2.5 (Ruby)
от 0.3.0 до 0.3.9 (Ruby)
от 0.4.0 до 0.4.20 (Ruby)
от 0.5.0 до 0.5.7 (Ruby)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 12
Red Hat Inc. Red Hat Enterprise Linux 9

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)
Средний уровень опасности (оценка CVSS 4.0 составляет 6)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Ruby:
https://www.ruby-lang.org/en/news/2025/04/28/dos-net-imap-cve-2025-43857/
https://github.com/ruby/net-imap/security/advisories/GHSA-j3g3-5qv5-52mj
Для программных продуктов Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2025-43857
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2025-43857

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 25%
0.00082
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
около 2 месяцев назад

Net::IMAP implements Internet Message Access Protocol (IMAP) client functionality in Ruby. Prior to versions 0.5.7, 0.4.20, 0.3.9, and 0.2.5, there is a possibility for denial of service by memory exhaustion when net-imap reads server responses. At any time while the client is connected, a malicious server can send can send a "literal" byte count, which is automatically read by the client's receiver thread. The response reader immediately allocates memory for the number of bytes indicated by the server response. This should not be an issue when securely connecting to trusted IMAP servers that are well-behaved. It can affect insecure connections and buggy, untrusted, or compromised servers (for example, connecting to a user supplied hostname). This issue has been patched in versions 0.5.7, 0.4.20, 0.3.9, and 0.2.5.

CVSS3: 6.5
redhat
около 2 месяцев назад

Net::IMAP implements Internet Message Access Protocol (IMAP) client functionality in Ruby. Prior to versions 0.5.7, 0.4.20, 0.3.9, and 0.2.5, there is a possibility for denial of service by memory exhaustion when net-imap reads server responses. At any time while the client is connected, a malicious server can send can send a "literal" byte count, which is automatically read by the client's receiver thread. The response reader immediately allocates memory for the number of bytes indicated by the server response. This should not be an issue when securely connecting to trusted IMAP servers that are well-behaved. It can affect insecure connections and buggy, untrusted, or compromised servers (for example, connecting to a user supplied hostname). This issue has been patched in versions 0.5.7, 0.4.20, 0.3.9, and 0.2.5.

CVSS3: 7.5
nvd
около 2 месяцев назад

Net::IMAP implements Internet Message Access Protocol (IMAP) client functionality in Ruby. Prior to versions 0.5.7, 0.4.20, 0.3.9, and 0.2.5, there is a possibility for denial of service by memory exhaustion when net-imap reads server responses. At any time while the client is connected, a malicious server can send can send a "literal" byte count, which is automatically read by the client's receiver thread. The response reader immediately allocates memory for the number of bytes indicated by the server response. This should not be an issue when securely connecting to trusted IMAP servers that are well-behaved. It can affect insecure connections and buggy, untrusted, or compromised servers (for example, connecting to a user supplied hostname). This issue has been patched in versions 0.5.7, 0.4.20, 0.3.9, and 0.2.5.

CVSS3: 7.5
debian
около 2 месяцев назад

Net::IMAP implements Internet Message Access Protocol (IMAP) client fu ...

github
около 2 месяцев назад

net-imap rubygem vulnerable to possible DoS by memory exhaustion

EPSS

Процентиль: 25%
0.00082
Низкий

7.5 High

CVSS3

7.8 High

CVSS2