PT-2021-17168 · Unknown · Canary Mail

Rayd Debbas · Publicado 2021-02-17 · Atualizado 2021-02-24 · CVE-2021-26911

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

**Nome do software vulnerável e versões afetadas:

Versões do Canary Mail anteriores à 3.22

Descrição:

O problema está relacionado à falta de validação do certificado SSL para IMAP no modo STARTTLS. Isso afeta o arquivo core/imap/MCIMAPSession.cpp no Canary Mail.

Recomendações:

Para versões anteriores à 3.22, atualize para a versão 3.22 ou posterior para resolver o problema. Como solução temporária, considere desativar o uso do modo STARTTLS para conexões IMAP até que um patch esteja disponível. Restrinja o acesso aos serviços IMAP para minimizar o risco de exploração. Evite usar o IMAP com o modo STARTTLS nas versões afetadas até que o problema seja resolvido.

Exploit

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

CVE-2021-26911

Produtos afetados

Canary Mail

Referências · 9

• 🔥 https://census-labs.com/news/2021/02/17/canary-mail-app-missing-certificate-validation-check-on-imap-starttls · Exploit
• https://census-labs.com/news/category/advisories · Nota
• https://t.me/cibsecurity/23783 · Publicação no Telegram
• https://github.com/canarymail/mailcore2/commit/45acb4efbcaa57a20ac5127dc976538671fce018 · Correção
• https://apps.apple.com/us/app/canary-mail/id1236045954 · Nota
• https://openwall.com/lists/oss-security/2021/02/17/3 · Correção
• http://openwall.com/lists/oss-security/2021/02/17/3 · Correção
• https://osv.dev/vulnerability/CVE-2021-26911 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-26911 · Nota de Segurança