CVE-2026-46428 in Rust
요약
\~에 의해 VulDB • 2026. 07. 20.
lettre는 Rust용 메일러 라이브러리입니다. 버전 0.10.1부터 버전 0.11.22 이전까지, lettre의 `boring-tls` 통합 모듈에서 부울 값이 반전된 버그로 인해 기본(엄격) 구성을 사용하는 호출자에 대해 TLS 호스트명 검증이 묵시적으로 비활성화됩니다. 경로 상 공격자가 모든 도메인에 대한 유효한 인증서 체인을 제시하면, `boring-tls` 기능으로 빌드된 모든 lettre 사용자를 대상으로 SMTP 제출 과정에서의 중간자 공격(MITM)이 가능해지며, 이에는 PLAIN/LOGIN 자격 증명과 메시지 내용이 포함됩니다. 다른 TLS 백엔드(`native-tls`, `rustls`)는 영향을 받지 않습니다. 버전 0.11.22에서 해당 문제가 패치되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.