リモートの Debian 10 ホストには、dla-3122 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.3.15より前の Dovecot のサブミッションサービスでは、lib-smtp で STARTTLS コマンドインジェクションが可能です。機密情報が攻撃者が制御するアドレスにリダイレクトされる可能性があります。(CVE-2021-33515)

  - Dovecot 2.2および 2.3.20より前の 2.3の auth コンポーネントで問題が見つかりました。2 つの passdb 構成エントリが同じドライバーと引数の設定で存在する場合、正しくない username_filter とメカニズム設定が passdb 定義に適用される可能性があります。これらの設定が不適切に適用されると、意図しないセキュリティ構成につながり、特定の構成で権限昇格を引き起こす可能性があります。ドキュメントでは、同じドライバーと引数の設定を持つ passdb 定義の使用を推奨していません。そのような構成の 1 つは、管理者が通常のユーザーとマスターユーザーの両方に同じ PAM 構成または passwd ファイルを使用したいが、username_filter 設定を使用して、どのユーザーがマスターユーザーになれるかを制限する場合です。(CVE-2022-30550)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DLA-3122-1: dovecot - LTS セキュリティ更新

high Nessus プラグイン ID 165510

変更ログが見つかりません