リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2021:2124-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.3.15より前の Dovecot により../ Path Traversal が可能です。ローカルファイルシステムにアクセスできる攻撃者が、OAuth2認証を騙して、攻撃者が制御する場所から HS256検証キーを使用させる可能性があります。これはposix fsドライバーによるローカルJWT検証の使用中に発生します。(CVE-2021-29157)

  - 2.3.15より前の Dovecot のサブミッションサービスでは、lib-smtp で STARTTLS コマンドインジェクションが可能です。機密情報が攻撃者が制御するアドレスにリダイレクトされる可能性があります。(CVE-2021-33515)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES15セキュリティ更新プログラム：dovecot23 (SUSE-SU-2021:2124-1)

medium Nessus プラグイン ID 151106

バージョン 1.6