JVNDB-2026-007211

Jeffrey Stedfast (jstedfast)のMimeKitにおけるCRLF インジェクションの脆弱性

MimeKitは、多数のIETF仕様で定義されたマルチパーパスインターネットメール拡張（MIME）を使用してメッセージの作成および解析を行うC#ライブラリです。バージョン4.15.1以前のMimeKitには、SMTPエンベロープアドレスのローカルパート（ローカルパートが引用符付き文字列の場合）に\r\nを埋め込むことを攻撃者に許すCRLFインジェクションの脆弱性が存在します。これはRFC 5321に準拠しておらず、SMTPコマンドインジェクション（例：追加のRCPT TO / DATA / RSETコマンドの注入）およびメールヘッダーのインジェクションを引き起こす可能性があり、アプリケーションがMailKit/MimeKitを使用してメッセージの構築および送信を行う方法によって影響が異なります。この問題は、攻撃者がその後SMTPセッションにシリアル化されるMailboxAddress（MAIL FROM / RCPT TO）の値に影響を与えることができる場合に悪用されます。RFC 5321はSMTPメールボックスのローカルパートの文法を明確に定義しており、引用符付き文字列内にCR（13）またはLF（10）を許可していません（qtextSMTPおよびquoted-pairSMTPの範囲は制御文字を除外しています）。SMTPコマンドはCRLFで終了するため、コマンド引数でのCRLFインジェクションは特に危険です。この問題はバージョン4.15.1で修正されました。

Jeffrey Stedfast (jstedfast)

• MimeKit 4.15.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : CRLF Injection in Quoted Local-Part Enables SMTP Command Injection and Email Forgery  Advisory  jstedfast/MimeKit  GitHub

1. CRLF インジェクション(CWE-93) [その他]

1. CVE-2026-30227

1. National Vulnerability Database (NVD) : CVE-2026-30227

• [2026年03月16日]
    掲載