AlmaLinux 9.2 [TuxCare] セキュリティ更新:dovecot/dovecot-devel/dovecot-mysql/dovecot-pgsql/etcの複数の脆弱性(ALMALINUX9.2:CLSA-2026:1778573628)

medium Nessus プラグイン ID 361697

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1778573628アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- Dovecot OTP 認証は、特定の条件下でリプレイ攻撃に脆弱です。認証キャッシュが有効化され、ユーザー名が passdb で変更された場合、同じ OTP 応答が有効になるように OTP 認証情報をキャッシュできます。OTP 交換を監視できる攻撃者は、ユーザーとしてログインできます。安全でない接続で認証が発生した場合は、SCRAM プロトコルに切り替えてください。あるいは、通信が安全であることを確認し、可能であれば OAUTH2 または SCRAM に切り替えてください。一般に利用可能な悪用は知られていません。
(CVE-2026-27855)

- Doveadm 認証情報は、直接比較を使用して検証されます。これは、タイミングオラクル攻撃の影響を受けやすくなっています。攻撃者はこれを利用して、構成された認証情報を判別する可能性があります。認証情報を把握すると、影響を受けるコンポーネントへのフルアクセスにつながります。doveadm http サービスポートへのアクセスを制限し、修正済みバージョンをインストールしてください。一般に利用可能な悪用は知られていません。(CVE-2026-27856)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。