CVE-2026-47085 in Cyrus IMAP
요약
\~에 의해 VulDB • 2026. 07. 16.
Cyrus IMAP 3.12.2 이전 버전의 cyrus-imapd에서 취약점이 발견되었습니다. mboxkey 누락으로 인해 URLAUTH 토큰 위조가 발생할 수 있습니다. 공격자가 피해자 계정의 폴더 이름 중 피해자가 이전에 auth URL을 발급한 적이 없는 것을 알고 있다면, 예측 가능한 키를 사용하여 HMAC-SHA1 값을 계산하여 작동하는 URLAUTH 토큰을 위조할 수 있으며, 이를 통해 메일함에 대한 읽기 권한을 얻을 수 있습니다. (URLAUTH는 잘 알려지지 않은 기능이므로 실제 사용자가 이 공격에 노출될 확률은 매우 낮습니다. 아마도 공개된 클라이언트 중 URLAUTH를 사용하는 곳은 없을 것입니다.)
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.