GLSA-202208-15：isync：多个漏洞

critical Nessus 插件 ID 164046

语言：

描述

远程主机受到 GLSA-202208-15 中所述漏洞的影响（isync：多个漏洞）

- 在 v1.3.5 和 v1.4.1 之前的 mbsync 中发现缺陷。系统不会对 IMAP LIST/LSUB 返回的邮箱名称进行验证，从而允许恶意或遭到入侵的服务器使用包含“..”路径组件的特制邮箱名称访问同步通道另一端指定邮箱之外的数据。此漏洞最主要的威胁对象是数据机密性和完整性。(CVE-2021-20247)

- 在 v1.3.6 和 v1.4.2 之前的 mbsync 中发现一个缺陷，其中未经检查的指针转换允许恶意或受入侵的服务器通过发出意外 APPENDUID 响应，写入超过堆分配结构末尾的任意整数值。攻击者可能利用此缺陷在客户端上执行远程代码。 (CVE-2021-3578)

- 发现版本低于 1.4.4 的 mbsync 中存在一个缺陷。由于未充分处理极大 (>=2GiB) IMAP 文字，恶意或受入侵的 IMAP 服务器，甚至是外部电子邮件发件人，都可能造成数个不同的缓冲区溢出，攻击者可能会利用此缺陷执行远程代码。 (CVE-2021-3657)

- 在 isync 1.4.0 至 1.4.3 版的 mbsync 中发现缺陷。由于存在未经检查的情况，恶意或已遭到破坏的 IMAP 服务器可使用缺少标头的特制邮件消息（即以空行开头的邮件消息）来引发堆溢出，攻击者可利用此缺陷执行远程代码。
(CVE-2021-44143)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。