PT-2020-5785 · Gnome+8 · Evolution Data Server+8
Damian Poddebniak
+1
·
Publicado
2020-07-04
·
Atualizado
2024-06-15
·
CVE-2020-14928
CVSS v3.1
5.9
Média
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N |
**Nome do software vulnerável e versões afetadas:
evolution-data-server até a versão 3.36.3
Descrição:
O problema está relacionado a uma falha de buffer no STARTTLS que afeta os protocolos SMTP e POP3. Quando um servidor envia uma resposta “begin TLS”, o software lê dados adicionais e os avalia no contexto do TLS, o que pode levar à “injeção de resposta”. Isso poderia permitir que um invasor remoto comprometesse a integridade dos dados.
Recomendações:
Para as versões do evolution-data-server até a 3.36.3, atualize para uma versão que corrija o problema de buffer do STARTTLS para evitar possíveis ataques de injeção de resposta.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
Special Elements Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Centos
Linuxmint
Red Hat
Rocky Linux
Suse
Ubuntu
Evolution Data Server