AlmaLinux 9.2 [TuxCare] セキュリティ更新:dovecot/dovecot-devel/dovecot-mysql/dovecot-pgsql/etc(ALMALINUX9.2:CLSA-2025:1753987188)

high Nessus プラグイン ID 351767

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2025:1753987188アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

- ヘッダーが非常に大きい場合、メッセージの解析時にリソースを使い果たす可能性があります。メッセージパーサーは通常、メッセージの妥当な大きさのチャンクを読み取ります。ただし、これらをメッセージヘッダーパーサーにフィードすると、小さいチャンクからバッファfull_value構築し始めます。full_valueバッファにはサイズ制限がないため、ヘッダーが大きいとメモリ使用量が大きくなります。それが 1 つの長いヘッダー行であろうと、複数の行に分割された 1 つのヘッダーであろうと関係ありません。このバグはすべての Dovecot バージョンに存在します。受信メールには通常、MTA によって設定されたサイズ制限があるため、可能な限り最大のヘッダーサイズでも、Dovecot のvsz_limitに収まる場合があります。したがって、攻撃者はおそらくこの方法で被害者ユーザーに DoS 攻撃を行うことはできません。ただし、ユーザーはより大きなメールを追加することで、自分で DoS を行うことができます(ただし、一般的にバックエンドにメモリの問題が発生する可能性があります)。Dovecot に先行する MTA コンポーネントでヘッダーに制限を実装することができます。一般に利用可能な悪用は知られていません。(CVE-2024-23185)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。