VMime: Stack-basierter Pufferüberlauf im uuencode-Decoder

Zusammenfassung

VMime, eine C++-Bibliothek zum Verarbeiten und Erstellen von E-Mails und MIME-Nachrichten, enthält einen Integer-Underflow in der Funktion uuEncoder::decode. Ein Angreifer aus dem Netzwerk kann eine E-Mail mit einem manipulierten uuencodierten MIME-Teil senden und dadurch einen stack-basierten Pufferüberlauf auslösen. Für den Angriff ist keine Anmeldung nötig, aber eine Benutzerinteraktion (CVSS 4.0 UI:P). Der Überlauf kann die Anwendung zum Absturz bringen und möglicherweise die Ausführung von Code ermöglichen.

Betroffen

• VMime-Versionen 0.9.2 und älter (Bereich 0 bis <= 0.9.2 gemäss CVE-Eintrag von VulnCheck)
• Anwendungen, die libvmime einbinden und eingehende MIME-Nachrichten verarbeiten; welche Produkte dies sind, ist unbekannt

Behoben in

Unbekannt. Der Hersteller hat keine korrigierte Version bestätigt. Es ist nicht bestätigt, dass der referenzierte Commit e85925ed diese CVE behebt.

Umgehung

• Kein vom Hersteller bestätigter Workaround.
• Wo E-Mails durch eine VMime-basierte Komponente verarbeitet werden, sollten eingehende Nachrichten mit uuencodierten oder x-uuencodierten MIME-Teilen gefiltert oder in Quarantäne verschoben werden.

Ausnutzung

• Nicht bekanntermassen in freier Wildbahn ausgenutzt; nicht im Katalog KEV der CISA enthalten.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Kein öffentlicher Proof of Concept gefunden. Ein Drittanbieter-Bericht existiert, wurde aber nicht geprüft.

Unsere Empfehlung

• Prüfen, ob libvmime in Ihrer Software, Ihren Geräten oder SBOMs vorhanden ist, und die Version ermitteln.
• Falls eine verwundbare Version (0.9.2 oder älter) vorhanden ist, beim Hersteller oder Upstream eine korrigierte Version anfragen und das Upstream-Repository, den Pull Request #363 und die NVD auf Updates überwachen.
• Die oben beschriebene Filterung umsetzen, wo E-Mails durch eine VMime-basierte Komponente verarbeitet werden.
• Den Drittanbieter-Bericht vor einer Verwendung prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• VMime GitHub repository github.com
• uuEncoder.cpp at v0.9.2 github.com
• Referenced commit e85925ed (fix not confirmed) github.com
• VMime pull request 363 github.com
• VulDB CVE-2026-116738 vuldb.com
• OpenCVE CVE-2026-116738 app.opencve.io
• Strix CVE-2026-116738 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:05.