概要
RubyのNet::IMAPライブラリにおいて、IMAPコマンドへのSymbol（シンボル）引数がCRLFインジェクション / IMAPコマンドインジェクションに脆弱です（CVE-2026-42258）。
CVE-2026-42257と同じ根本原因を持ちますが、本脆弱性はSymbol型引数を渡すケースに特有の問題です。Symbol引数の変換・サニタイズが不十分なため、CRLF文字を含むSymbolが使用された場合に任意のIMAPコマンドを注入できます。
両脆弱性はnet-imap 0.4.24、0.5.14、0.6.4で同時に修正されています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 9.8（Critical） |
| 攻撃元区分 | ネットワーク（Network） |
| 攻撃の複雑さ | 低（Low） |
| 必要な権限 | 不要（None） |
| ユーザー操作 | 不要（None） |
| CWE | CWE-77（コマンドインジェクション）、CWE-93（CRLFインジェクション） |
影響を受けるソフトウェア
| gem名 | 影響バージョン | 修正バージョン |
|---|---|---|
| net-imap | 0.4.24未満 | 0.4.24 |
| net-imap | 0.5.14未満 | 0.5.14 |
| net-imap | 0.6.4未満 | 0.6.4 |
修正バージョンと回避策
- 修正バージョン: net-imap 0.4.24、0.5.14、0.6.4
gem update net-imapまたはbundle update net-imapでアップデートしてください
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。