GLSA-202208-15：isync：多個弱點

critical Nessus Plugin ID 164046

語系：

說明

遠端主機受到 GLSA-202208-15 中所述的弱點影響 (isync：多個弱點)

- 在 v1.3.5 和 v1.4.1 之前的 mbsync 中發現一個缺陷。不會驗證 IMAP LIST/LSUB 傳回的信箱名稱，進而允許惡意或遭入侵的伺服器使用含有「..」路徑元件的特製信箱名稱，存取同步通道另一端的指定信箱之外的資料。此弱點對資料機密性與完整性的威脅最大。(CVE-2021-20247)

- 在 v1.3.6 和 v1.4.2 之前的 mbsync 中發現一個缺陷，其中未經檢查的指標轉換允許惡意或遭入侵的伺服器發出未預期的 APPENDUID 回應，進而寫入超出堆積配置結構結尾的任意整數值。這可能會遭到惡意利用以在用戶端上執行遠端程式碼。(CVE-2021-3578)

- 在 mbsync 1.4.4 之前版本中發現一個缺陷。由於未充分處理極大型 (>=2GiB) IMAP 常值，惡意或遭入侵的 IMAP 伺服器，甚至是外部電子郵件寄件者，可造成數個不同的緩衝區溢位，可能會遭到惡意利用以執行遠端程式碼。(CVE-2021-3657)

- 在 isync 1.4.0 至 1.4.3 版的 mbsync 中發現一個瑕疵。由於存在未經檢查的情況，惡意或遭入侵的 IMAP 伺服器可使用缺少標頭的特製郵件訊息 (即以空白行開頭的郵件訊息) 來引發堆積溢位，攻擊者可利用此問題來執行遠端程式碼。
(CVE-2021-44143)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。