漏洞概述 该版本（v0.6.4）包含多个安全修复，主要涉及以下漏洞： 1. STARTTLS剥离漏洞（GHSA-vcgp-9326-pcqp） - 描述：此漏洞允许中间人攻击者使 返回“成功”，而实际上并未启动TLS。 - 修复：通过修复该漏洞，防止了这种攻击。 2. CRLF/命令/参数注入漏洞 - 描述：多个注入漏洞被修复，包括： - 通过 参数修复CRLF/命令/参数注入（GHSA-75xq-5b9v-w6px） - 通过 参数修复CRLF/命令/参数注入（GHSA-hm49-wcqc-g2xg） - 通过 参数修复CRLF/命令/参数注入（GHSA-hm49-wcqc-g2xg） - 通过 修复CRLF/命令/参数注入（GHSA-hm49-wcqc-g2xg） - 修复：改进了参数验证，防止了这些注入攻击。 3. 拒绝服务漏洞 - 描述：两个拒绝服务漏洞被修复，主要是在连接不可信主机服务器（或无TLS）时： - 修复了读取包含大量字符串字面量的大响应时的二次时间复杂度问题（GHSA-q2mw-hy9-vvcx） - 添加了可配置的 计数用于SCRAM-+认证（GHSA-87pf-9pww-7m7） - 修复：默认 设置为 2^31 - 1（最大32位有符号整数），这是OpenSSL的最大值。它不提供对不可信服务器的保护，除非用户显式设置为较低值。 影响范围 STARTTLS剥离漏洞：影响所有使用 的应用程序。 CRLF/命令/参数注入漏洞：影响所有使用 、 、 和 参数的应用程序。 拒绝服务漏洞：影响所有连接到不可信主机服务器（或无TLS）的应用程序。 修复方案 STARTTLS剥离漏洞：通过修复该漏洞，防止了中间人攻击。 CRLF/命令/参数注入漏洞：改进了参数验证，防止了注入攻击。 拒绝服务漏洞： - 修复了读取大响应时的二次时间复杂度问题。 - 添加了可配置的 计数用于SCRAM-+认证。 POC代码或利用代码 页面中未提供具体的POC代码或利用代码。