CVE-2021-44549 in Sling Commons Messaging Mail
要約
〜によって VulDB • 2026年05月20日
Apache Sling Commons Messaging Mailは、OSGi向けにJavaMail/Jakarta Mailの上に簡易なレイヤーを提供し、SMTPS経由でメールを送信します。「中間者攻撃」のリスクを軽減するため、メールサーバーにアクセスする際には追加のサーバーID確認を行う必要があります。互換性の理由から、これらの追加チェックはJavaMail/Jakarta Mailではデフォルトで無効になっています。Apache Sling Commons Messaging Mail 1.0のSimpleMailServiceには、共有メールセッションに対してこれらのチェックを有効にするオプションがありません。ただし、ユーザーはSimpleMessageBuilderによって作成されたメッセージを介してセッションにアクセスし、プロパティmail.smtps.ssl.checkserveridentityをtrueに設定することで、これらのチェックを有効にすることができます。Apache Sling Commons Messaging Mail 2.0では、サーバーID確認を有効にするサポートが追加され、これらのチェックはデフォルトで有効になっています。- https://javaee.github.io/javamail/docs/SSLNOTES.txt - https://javaee.github.io/javamail/docs/api/com/sun/mail/smtp/package-summary.html - https://github.com/eclipse-ee4j/mail/issues/429
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.