DebianDSA-4130-1：dovecot - セキュリティ更新

high Nessus プラグイン ID 107122

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Dovecotメールサーバーで複数の脆弱性が発見されました。Common Vulnerabilities and Exposuresプロジェクトでは、次の問題を特定しています：

- CVE-2017-14461Cisco TalosのAleksandar Nikolic氏と「flxflndy」は、Dovecotが無効なメールアドレスを適切に解析していないことを発見しました。これにより、クラッシュが引き起こされたり、メモリコンテンツが攻撃者に漏洩する可能性があります。

- CVE-2017-15130TLS SNI構成検索が過剰なメモリ使用につながり、imap-login/pop3-login VSZ制限に達し、プロセスを再起動し、サービス拒否を引き起こす可能性があることがわかりました。local_name { }またはlocal { }構成ブロックを含むDovecot構成のみが影響を受けます。

- CVE-2017-15132Dovecotには、中止されたSASL認証のログインプロセスにメモリリークの欠陥が含まれることが判明しました。

ソリューション

dovecotパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（jessie）では、これらの問題はバージョン1:2.2.13-12+deb8u4で修正されています。

安定版（stable）ディストリビューション（stretch）では、これらの問題はバージョン1:2.2.27-3+deb9u2で修正されています。