CVE-2026-106454
Twisted: IMAP wildcardToRegexp() ReDoS
CVSS 3.1Medium
4.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Патч на момент публикации отсутствует. Рекомендуется экранировать входящие паттерны LIST/LSUB перед вызовом re.compile() или ограничить синтаксис на уровне валидатора.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Катастрофический возврат в регулярных выражениях (ReDoS) в IMAP-сервере Twisted приводит к полной блокировке ввода-вывода.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Функция wildcardToRegexp() в twisted/mail/imap4.py экранирует спецсимволы * и %, но передает остальные символы из клиентских команд LIST/LSUB напрямую в re.compile(). Специфические вложенные конструкции вызывают катастрофический возврат при сопоставлении с именами ящиков, блокируя единственный поток кооперативного реактора Twisted.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Отказ в обслуживании (DoS). Полная приостановка обработки входящих и исходящих соединений сервера на время вычисления регулярного выражения.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
twistedtwisted
все ранние➔Патч не выпущен
——
>= 0➔Патч не выпущен
——
>= 0➔Патч не выпущен
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-106454: Twisted: IMAP wildcardToRegexp() ReDoS. URL: https://cve.futuretools.ru/cve/CVE-2026-106454
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_106454,
title = {{CVE-2026-106454: Twisted: IMAP wildcardToRegexp() ReDoS}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-106454}},
note = {Оперативный инженерный анализ киберугроз}
}