AlmaLinux 9.6 [TuxCare] セキュリティ更新:cyrus-imapd / cyrus-imapd-devel / cyrus-imapd-doc-extra / etc 複数の脆弱性 (ALMALINUX9.6:CLSA-2026:1790173408)

high Nessus プラグイン ID 361352

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1790173408アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 3.12.4より前のCyrus IMAPで問題が発見されました。CalDAV/CardDAV マルチゲットが per-href ACL をバイパスします。他のユーザーのカレンダーまたはアドレス帳への何らかの共有アクセス権を持つ認証された DAV ユーザーが、calendar-multiget または addressbook-multiget REPORT にターゲット hrefs を含めることで、共有されていないイベントや連絡先さえも読む可能性があります。(CVE-2026-61909)

- 3.12.4より前のCyrus IMAPで問題が発見されました。Sieveメールボックスの存在オラクルがあります。認証されたユーザーが、Sieve スクリプトをインストールする可能性があります。これにより、LMTP 配信中にどの fileinto ブランチが起動したかを観察することで、他のユーザーのプライベートメールボックスが存在するかどうかを調査したり、共有メールボックス注釈の値を読み取ったりする可能性があります。(CVE-2026-61911)

- 3.12.4より前のCyrus IMAPで問題が発見されました。VPATCH BYPARAM 二重解放があります。認証されたカレンダーユーザーが、PATCH-ACTION=BYPARAM@...一致する種類のプロパティが 2 つ以上あるリソースに対して、セレクターを保持しているメモリは、プロパティが反復するたびに一度解放されます。(CVE-2026-61915)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。