NVD / CVE Program· CNA OX

CVE-2026-40017: An attacker that can send mail to a user can craft a message header whose values are chosen to collide in an internal hash table, which make

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 26/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,33% (FIRST EPSS).
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Пользователь должен открыть ссылку или посетить страницу. Особые условия не требуются; воспроизводится стабильно.
Исправленная версия: Open-Xchange GmbH OX Dovecot CE 2.4.5; Open-Xchange GmbH OX Dovecot Pro 2.3.22.2, 3.0.7, 3.1.6.

Пока низкий приоритет. Обновитесь до Open-Xchange GmbH OX Dovecot CE 2.4.5; Open-Xchange GmbH OX Dovecot Pro 2.3.22.2, 3.0.7, 3.1.6 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

An attacker that can send mail to a user can craft a message header whose values are chosen to collide in an internal hash table, which makes the IMAP THREAD command consume CPU disproportionate to the size of the message. This is a separate issue from CVE-2026-40014 and is not addressed by that fix. Whenever a mail client issues a THREAD command on the affected mailbox, this can cause degradation or denial of service for IMAP. Monitor system for abnormal CPU usage, kill the offending process and remove the offending message from the affected mailbox. Update to non-vulnerable version. No publicly available exploits are known.

СредняяCVSS 6.5 · v3.1—Эксплойта нет Есть исправление

Опубликовано: 28 авг. 2026 г.
Обновлено: 3 сент. 2026 г.
EPSS: 0,3 % · 26-й процентиль
CWE: CWE-400

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 26 / 40 · 6.5 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,3 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: нет
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: —
CNA · OX: 6,5; NVD ещё не выставил свою оценку; показана оценка CNA.

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

—

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (OX). Не зависят от анализа CPE в NVD и обычно опережают его.

Open-Xchange GmbH OX Dovecot CE
- 2.3.0 и новее · до 2.4.5затронута · semver
Open-Xchange GmbH OX Dovecot Pro
- 2.3.0 и новее · до 2.3.22.2затронута · semver
- 3.0.0 и новее · до 3.0.7затронута · semver
- 3.1.0 и новее · до 3.1.6затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Alpine:v3.23	dovecot	до 2.4.5-r0	2.4.5-r0
Debian:12	dovecot	с 0	—
Debian:13	dovecot	до 1:2.4.1+dfsg1-6+deb13u7	1:2.4.1+dfsg1-6+deb13u7
Debian:14	dovecot	до 1:2.4.5+dfsg1-1	1:2.4.5+dfsg1-1
openSUSE:Leap 16.0	dovecot24	до 2.4.4-160000.2.1	2.4.4-160000.2.1
openSUSE:Tumbleweed	dovecot24	до 2.4.5-1.1	2.4.5-1.1
SUSE:Linux Enterprise Server 16.0	dovecot24	до 2.4.4-160000.2.1	2.4.4-160000.2.1

Тот же продукт

open-xchange gmbh: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2026-42007An attacker that has valid credentials can use a Sieve script with the editheader extension to trigger a use-after-free in the mail editing
36Наблюдать
CVE-2026-42391An unauthenticated attacker can send an IMAP ID command with a very large number of parameters before logging in, which causes memory and CP
30Наблюдать
CVE-2026-33605An unauthenticated attacker can crash the ManageSieve login process by sending a small malformed command before authenticating.
30Наблюдать

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2026-4001428 авг. 2026 г. · An attacker that can send mail to a user can craft a message header that makes the IMAP THREAD command consume CPU disproportionate to the s
26Наблюдать
← РаньшеCVE-2026-4001528 авг. 2026 г. · An attacker that has valid credentials can open many connections to the imap-hibernate service and send invalid commands, which can intermit
17Наблюдать
Позже →CVE-2026-4001828 авг. 2026 г. · None None None No publicly available exploits are known.
29Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Open-Xchange GmbH OX Dovecot CE	2.4.5	Вендор (CNA)
Open-Xchange GmbH OX Dovecot Pro	2.3.22.2	Вендор (CNA)
Open-Xchange GmbH OX Dovecot Pro	3.0.7	Вендор (CNA)
Open-Xchange GmbH OX Dovecot Pro	3.1.6	Вендор (CNA)
alpine:dovecot	2.4.5-r0 · Alpine:v3.23	Реестр пакетов (OSV)
debian:dovecot	1:2.4.1+dfsg1-6+deb13u7 · Debian:13	Реестр пакетов (OSV)
opensuse:dovecot24	2.4.5-1.1 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
suse:dovecot24	2.4.4-160000.2.1 · SUSE:Linux Enterprise Server 16.0	Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2026-27852с разницей 0 дн.An attacker that can send mail to a user can craft a message whose headers contain a very large number of email addresses or MIME parameters
30Наблюдать
CVE-2026-33605с разницей 0 дн.An unauthenticated attacker can crash the ManageSieve login process by sending a small malformed command before authenticating.
30Наблюдать
CVE-2026-42391с разницей 0 дн.An unauthenticated attacker can send an IMAP ID command with a very large number of parameters before logging in, which causes memory and CP
30Наблюдать
CVE-2026-40014с разницей 0 дн.An attacker that can send mail to a user can craft a message header that makes the IMAP THREAD command consume CPU disproportionate to the s
26Наблюдать
CVE-2026-52687с разницей 0 дн.An attacker that has valid credentials can select a compression algorithm for the IMAP connection whose decompression state requires a large
26Наблюдать
CVE-2026-42395с разницей 0 дн.A host listed as a trusted proxy can send forwarding information containing a NUL byte, which crashes the login process on the following log
17Наблюдать

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Пользователь должен открыть ссылку или посетить страницу.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: нет
Целостность: нет
Доступность: высокое · работа сервиса может быть нарушена

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Нет
Влияние на целостность: Нет
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-400 · Uncontrolled Resource Consumption

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

nvd-secondary

Первопричина

Код, разбирающий вложенные структуры, не ограничивает глубину или размер. Небольшие входные данные могут привести к несоразмерной вычислительной нагрузке.

Ошибка в коде

Весь класс CWE-400

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

1function expand(node) {
2  return node.children.map(expand);
3}

Исправленный код

1const MAX_DEPTH = 32;
2function expand(node, depth = 0) {
3  if (depth > MAX_DEPTH) throw new Error("слишком глубоко");
4  return node.children.map((c) => expand(c, depth + 1));
5}