PT-2024-14283 · Apache · Apache James

Benoit Tellier + 1 · Publicado 2024-02-27 · Atualizado 2025-05-05 · CVE-2023-51747

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache James anteriores à 3.8.1 e à 3.7.5

Descrição

Um comportamento permissivo no tratamento do delimitador de linha pode criar uma diferença de interpretação entre o remetente e o destinatário, o que pode ser explorado por um invasor para falsificar um envelope SMTP, permitindo, por exemplo, contornar as verificações SPF. O problema está relacionado à imposição do CRLF como delimitador de linha como parte da transação DATA.

Recomendações

Para versões anteriores à 3.8.1, atualize para a versão 3.8.1 ou posterior.

Para versões anteriores à 3.7.5, atualize para a versão 3.7.5 ou posterior.

Correção

Authentication Bypass by Spoofing

RCE

HTTP Request/Response Smuggling

Enumeração de Fraquezas

CWE-290

CWE-20

CWE-444

Identificadores relacionados

CVE-2023-51747

GHSA-P5Q9-86W4-2XR5

Produtos afetados

Apache James

Referências · 14

• https://github.com/apache/james-project · Nota
• https://github.com/apache/james-project/commit/d5cd8bb098aa78d8d62c9645f3c532689ef1cb03 · Nota
• https://github.com/apache/james-project/commit/d1ef102540e504c067b6c1721a6f1e7eee9c6fc6 · Nota
• https://osv.dev/vulnerability/CVE-2023-51747 · Aviso do Fabricante
• https://lists.apache.org/thread/rxkwbkh9vgbl9rzx1fkllyk3krhgydko · Aviso do Fabricante
• https://postfix.org/smtp-smuggling.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-51747 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-p5q9-86w4-2xr5 · Aviso do Fabricante
• https://sec-consult.com/blog/detail/smtp-smuggling-spoofing-e-mails-worldwide · Nota
• http://openwall.com/lists/oss-security/2024/02/27/4 · Nota
• https://twitter.com/oss_security/status/1762514844886950310 · Publicação no Twitter
• https://t.me/cvenotify/101567 · Publicação no Telegram
• https://t.me/cvenotify/120892 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1762475801566740703 · Publicação no Twitter