bbs-go حتى الإصدار 4.4.6 مصاب بالتحقق غير السليم من شهادة TLS في خدمة بريد SMTP

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي bbs-go حتى الإصدار 4.4.6 على ثغرة تحقق غير سليم من الشهادات تسمح للمهاجمين المتواجدين على الشبكة اعتراض حركة مرور SMTP لأن الدالة sendEmail() تعين قيمة InsecureSkipVerify إلى true. يمكن للمهاجمين تقديم أي شهادة لالتقاط بيانات اعتماد المصادقة من نوع SMTP PLAIN وقراءة أو تعديل رسائل إعادة تعيين كلمة المرور ورسائل التحقق الصادرة.

المعالجة

1. أحصِ جميع نشرات mlogclub bbs-go، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تصحيحhttps://github.com/mlogclub/bbs-go/commit/1a06e35fa6314ee2d3ada70685a7afa740baf6f5
• تحذيرhttps://www.vulncheck.com/advisories/bbs-go-through-4.4.6-improper-tls-certificate-validation-in-smtp-email-service
• مرجعhttps://github.com/mlogclub/bbs-go/issues/310
• مرجعhttps://github.com/mlogclub/bbs-go
• مرجعhttps://github.com/mlogclub/bbs-go/blob/v4.4.6/internal/services/email_service.go#L86-L113