注目★★★★★GitHub Advisory
lettre の Boring TLS で SMTP ホスト検証がデフォルト無効化、中間者攻撃に脆弱
30秒で把握
- 1lettre 的 Boring TLS で boolean 反転バグ、strict 設定時にも hostname 検証が無効化される
- 2経路上の攻撃者が任意の有効証明書で SMTP 認証情報・メール内容傍受可能 (native-tls / rustls は未影響)
- 3boring-tls 機能でビルドされた lettre ユーザは TLS 設定と証明書検証の動作確認を即実施推奨
要約
lettre ライブラリの Boring TLS バックエンド統合に論理反転バグがあり、デフォルト (strict) 設定でも TLS ホスト名検証が無効化される。経路上の攻撃者が任意の有効な証明書チェーンを提示することで SMTP 送信時の PLAIN/LOGIN 認証情報とメッセージ内容を傍受可能。native-tls と rustls バックエンドは影響を受けない。`boring-tls` 機能でビルドされたすべての lettre ユーザが対象。
あなたへの影響
SMTP サーバ接続に lettre + Boring TLS を使用していれば。
推奨：即座に証明書確認ロジックの動作確認と、他の TLS バックエンドへの切り替え評価が必要。