AlmaLinux 9.2 [TuxCare] セキュリティ更新:dovecot / dovecot-devel / dovecot-mysql / dovecot-pgsql / etc 複数の脆弱性 (ALMALINUX9.2:CLSA-2026:1787334245)

medium Nessus プラグイン ID 351708

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1787334245アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- Dovecot は、添付ファイルをテキストに変換するために使用するスクリプトを提供しています。このスクリプトは、zip スタイルの添付ファイルを安全でない方法で処理します。攻撃者が特別に細工されたOOXMLドキュメントを使用して、システム上の意図されていないファイルをインデックス化し、FTSインデックスに入れる可能性があります。提供されたスクリプトは使用しないでください。代わりに、FTS tika など他のものを使用してください。一般に利用可能な悪用は知られていません。(CVE-2025-59031)

- dovecot がドメインごとのパスワードファイルを使用するように構成されており、これらが /etc の上に 1 つのパスコンポーネントに配置されているか、許可された文字にスラッシュが追加されている場合、ドメインコンポーネントがディレクトリの部分的である場合、パストラバーサルが発生する可能性があります。これにより、/etc/passwd(または passwd で終わる他のパス)を不注意に読み取ることがあります。このファイルにパスワードが含まれている場合、誤った認証に使用される可能性があります。また、これが userdb である場合、予期せずシステムユーザーが有効なユーザーに見える可能性があります。修正済みバージョンにアップグレードするか、パスに依存しない別の認証スキームを使用してください。または、ドメインごとのパスワードファイルが他の場所 (/etc/dovecot/auth/%d など) にあることを確認することもできます。一般に利用可能な悪用は知られていません。(CVE-2026-0394)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。