複数の脆弱性がDovecotメールサーバーで発見されました。Common Vulnerabilities and Exposures プロジェクトでは、次の問題を特定しています：

CVE-2017-14461

Cisco TalosのAleksandar Nikolic氏と「flxflndy」は、Dovecotが無効なメールアドレスを適切に解析していないことを発見しました。これにより、クラッシュが引き起こされたり、メモリコンテンツが攻撃者に漏洩されたりする可能性があります。

CVE-2017-15130

TLS SNI構成検索が過剰なメモリ使用につながり、imap-login/pop3-login VSZ制限に達し、プロセスを再起動し、サービス拒否を引き起こす可能性があることがわかりました。local_name { }またはlocal { }構成ブロックを含むDovecot構成のみが影響を受けます。

CVE-2017-15132

Dovecotが、中止されたSASL認証のログインプロセスにメモリリークの欠陥を含むことが判明しました。

Debian 7「Wheezy」では、これらの問題はバージョン1:2.1.7-7+deb7u2で修正されました。

お使いのdovecotパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-1333-1: dovecotセキュリティ更新プログラム

high Nessus プラグイン ID 108767

変更ログが見つかりません