postal-mime: kwadratisch CPU-verbruik door geprepareerde e-mailheaders (GHSA-f2hq-32vh-53cc)

Wat is er gebeurd

Er is een kwetsbaarheid bekendgemaakt in postal-mime die betrekking heeft op de manier waarop het pakket e-mailheaders decodeert met lange reeksen aaneen te voegen RFC 2047 base64-gecodeerde woorden (bijvoorbeeld herhaalde `=?utf-8?B?QUJT?=`-reeksen in een Subject-, From-, To-, bestandsnaam- of beschrijvingsveld). De decodeerlogica voerde bij elk verwerkt woord een reguliere expressie uit over de volledig opgebouwde tekst tot dan toe, waardoor de verwerkingstijd kwadratisch toenam met het aantal woorden in plaats van lineair.

Technische oorzaak

De kwetsbaarheid is geclassificeerd als CWE-400 (Uncontrolled Resource Consumption). De oorzaak ligt in de manier waarop postal-mime controleerde of RFC 2047-gecodeerde woorden aaneengesloten konden worden: bij elk nieuw woord werd de opgebouwde tekst opnieuw platgeslagen en met een regex doorzocht, in plaats van alleen het laatst toegevoegde woord bij te houden. Een enkel goed gevormd bericht van ongeveer 1,6 MB met zo'n header kon de event loop, afhankelijk van de host, één tot twintig seconden blokkeren. Ingesloten `message/rfc822`-onderdelen (geneste berichten) verhoogden de kosten verder, omdat elk genest bericht zijn eigen headerbudget meebracht.

Waarom dit belangrijk is

Dit probleem heeft een CVSS-score van 7,5 (vector: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H), wat duidt op een via het netwerk uitbuitbare denial-of-service-situatie zonder dat authenticatie of gebruikersinteractie vereist is, met een hoge impact op beschikbaarheid maar geen impact op vertrouwelijkheid of integriteit. Elke applicatie die postal-mime gebruikt om onbetrouwbare of extern aangeleverde e-mail te verwerken — ook via de geëxporteerde helper `decodeWords()` — kan worden gedwongen tot excessief CPU-gebruik, wat de verwerking van andere verzoeken kan vertragen of blokkeren zolang de event loop bezet is.

Wie wordt getroffen

Elke applicatie of dienst die het npm-pakket postal-mime gebruikt om onbetrouwbare e-mailinvoer te verwerken, is kwetsbaar als een getroffen versie wordt gebruikt.

Getroffen versies

postal-mime versies 3.0.0 tot maar niet met inbegrip van 4.0.8 zijn getroffen, inclusief versie 4.0.7. Het probleem is verholpen in versie 4.0.8.

Oplossingen en mitigatie

Het probleem is verholpen in postal-mime 4.0.8. De oplossing wijzigt de padding-controle zodat alleen het laatst toegevoegde woord wordt bijgehouden in plaats van steeds de volledige samengevoegde tekst opnieuw te testen, waardoor de decodeertijd lineair wordt ten opzichte van de headerlengte. Versie 4.0.8 telt daarnaast de onderdelen en headerbytes van ingesloten `message/rfc822`-subberichten mee in de limieten van het hoofdbericht, telt elke headerregel voor minimaal 64 bytes mee in `maxHeadersSize`, en voegt een schaaltest toe die de prestaties van de parser op twee invoergroottes meet. Als tijdelijke mitigatie voor systemen die niet direct kunnen updaten, kan het verlagen van `maxHeadersSize` ten opzichte van de standaardwaarde van 2 MiB de kosten per bericht beperken, of kan onbetrouwbare e-mail worden verwerkt in een worker-proces dat kan worden beëindigd als het te lang draait.

Aanbevolen actie

Update postal-mime zo spoedig mogelijk naar versie 4.0.8. Als directe update niet haalbaar is, verlaag dan de instelling `maxHeadersSize` ten opzichte van de standaardwaarde of isoleer het verwerken van onbetrouwbare e-mail in een beëindigbaar worker-proces als tijdelijke mitigatie.