CentOS Linux 7 [TuxCare] セキュリティ更新:dovecot/dovecot-devel/dovecot-mysql/dovecot-pgsql/etcの複数の脆弱性(CENTOS7:CLSA-2026:1793089374)

high Nessus プラグイン ID 374131

Language:

概要

CentOS Linux ホストに 1 つ以上のセキュリティ更新プログラムが欠落しています。

説明

CentOS Linux 7ホストには、TuxCare CENTOS7:CLSA-2026:1793089374アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 認証されていない攻撃者が、認証前に小さな無効なコマンドを送信することで、ManageSieve のログインプロセスをクラッシュさせる可能性があります。高セキュリティモード(コミュニティリリースのデフォルト)で実行すると、攻撃者自身の接続のみが切断されます。ハイパフォーマンスモード(Pro リリースのデフォルト)で実行している場合、同じ managesieve-login プロセスによって処理されるすべての接続が終了します。この攻撃を繰り返すことで、Sieve スクリプト管理のサービス拒否が発生する可能性があります。ManageSieve サービスへのネットワークアクセスを、信頼できるクライアントに制限してください。脆弱でないバージョンに更新してください。一般に利用可能な悪用は知られていません。
(CVE-2026-33605)

- なしなしなし一般に利用可能な悪用は知られていません。(CVE-2026-40018)

- 認証されていない攻撃者が、ログイン前に非常に多数のパラメーターが含まれている IMAP ID コマンドを送信する可能性があります。これにより、メモリと CPU の使用率が不釣り合いに増加します。ログインプロセスは、メモリ不足処理によって終了する可能性があり、メモリー不足処理により、同じプロセスによって処理される他のすべての接続も終了します。これにより、IMAP ログインの劣化またはサービス拒否が発生する可能性があります。単一の imap-login プロセスが処理する接続の数を制限します。ただし、これはパフォーマンスには影響します。脆弱でないバージョンに更新してください。一般に利用可能な悪用は知られていません。(CVE-2026-42391)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。