Vulnerabilidad en Net::IMAP (CVE-2025-43857)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-400
Consumo de recursos no controlado (Agotamiento de recursos)
Fecha de publicación:
28/04/2025
Última modificación:
12/05/2025
Descripción
Net::IMAP implementa la funcionalidad de cliente del Protocolo de Acceso a Mensajes de Internet (IMAP) en Ruby. En versiones anteriores a la 0.5.7, 0.4.20, 0.3.9 y 0.2.5, existía la posibilidad de denegación de servicio por agotamiento de memoria al leer las respuestas del servidor. Mientras el cliente esté conectado, un servidor malicioso puede enviar un recuento literal de bytes, que el hilo receptor del cliente lee automáticamente. El lector de la respuesta asigna inmediatamente memoria para la cantidad de bytes indicada por la respuesta del servidor. Esto no debería ser un problema al conectarse de forma segura a servidores IMAP confiables y con buen comportamiento. Puede afectar a conexiones inseguras y servidores con errores, no confiables o comprometidos (por ejemplo, al conectarse a un nombre de host proporcionado por el usuario). Este problema se ha corregido en las versiones 0.5.7, 0.4.20, 0.3.9 y 0.2.5.
Impacto
Puntuación base 4.0
6.00
Gravedad 4.0
MEDIA
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:ruby-lang:net\:\:imap:*:*:*:*:*:ruby:*:* | 0.2.5 (excluyendo) | |
cpe:2.3:a:ruby-lang:net\:\:imap:*:*:*:*:*:ruby:*:* | 0.3.0 (incluyendo) | 0.3.9 (excluyendo) |
cpe:2.3:a:ruby-lang:net\:\:imap:*:*:*:*:*:ruby:*:* | 0.4.0 (incluyendo) | 0.4.20 (excluyendo) |
cpe:2.3:a:ruby-lang:net\:\:imap:*:*:*:*:*:ruby:*:* | 0.5.0 (incluyendo) | 0.5.7 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://github.com/ruby/net-imap/pull/442
- https://github.com/ruby/net-imap/pull/444/commits/0ae8576c1a90bcd9573f81bdad4b4b824642d105#diff-53721cb4d9c3fb86b95cc8476ca2df90968ad8c481645220c607034399151462
- https://github.com/ruby/net-imap/pull/445
- https://github.com/ruby/net-imap/pull/446
- https://github.com/ruby/net-imap/pull/447
- https://github.com/ruby/net-imap/security/advisories/GHSA-j3g3-5qv5-52mj