Rocky Linuxの 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1787230282アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - dovecot がドメインごとのパスワードファイルを使用するように構成されており、これらが /etc の上に 1 つのパスコンポーネントに配置されているか、許可された文字にスラッシュが追加されている場合、ドメインコンポーネントがディレクトリの部分的である場合、パストラバーサルが発生する可能性があります。これにより、/etc/passwd(または passwd で終わる他のパス)を不注意に読み取ることがあります。このファイルにパスワードが含まれている場合、誤った認証に使用される可能性があります。また、これが userdb である場合、予期せずシステムユーザーが有効なユーザーに見える可能性があります。修正済みバージョンにアップグレードするか、パスに依存しない別の認証スキームを使用してください。または、ドメインごとのパスワードファイルが他の場所 (/etc/dovecot/auth/%d など) にあることを確認することもできます。一般に利用可能な悪用は知られていません。(CVE-2026-0394)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 9.6 [TuxCare] セキュリティ更新:dovecot/dovecot-devel/dovecot-mysql/dovecot-pgsql/etc(ALMALINUX9.6:CLSA-2026:1787230282)

medium Nessus プラグイン ID 352200

バージョン 1.1