以前の 0.71.1-2 クーリエ認証ライブラリ用の Debian courier-authlib パッケージは、弱い権限で /run/courier/authdaemon ディレクトリを作成し、攻撃者がユーザー情報を読み取る可能性があります。
これには、一部の構成で平文パスワードが含まれる可能性があります。一般に、これにはユーザーの存在、uid および gids、home および/または Maildir ディレクトリ、クォータ、および一部のタイプのパスワード情報 (ハッシュなど) が含まれます。

Debian 9 stretch では、この問題はバージョン 0.66.4-9+deb9u1 で修正されています。

お使いの courier-authlib パッケージをアップグレードすることを推奨します。

courier-authlib の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/courier-authlib

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-2625-1 : courier-authlib セキュリティ更新

high Nessus プラグイン ID 148610

バージョン 1.3