Pedro Sampaioによる報告：

dovecot 2.0から2.2.33まで、および2.3.0に欠陥が見つかりました。SASL認証の中止により、ログインプロセスで使用されるDovecot認証クライアントでメモリリークが発生します。この漏洩は、同じログインプロセスで再利用される高パフォーマンスの構成に影響を与え、メモリ枯渇によりプロセスがクラッシュする可能性があります。

Dovecotメールサーバーで複数の脆弱性が発見されました。Common Vulnerabilities and Exposuresプロジェクトでは、次の問題を特定しています：

  - CVE-2017-14461Cisco TalosのAleksandar Nikolic氏と「flxflndy」は、Dovecotが無効なメールアドレスを適切に解析していないことを発見しました。これにより、クラッシュが引き起こされたり、メモリコンテンツが攻撃者に漏洩する可能性があります。

  - CVE-2017-15130TLS SNI構成検索が過剰なメモリ使用につながり、imap-login/pop3-login VSZ制限に達し、プロセスを再起動し、サービス拒否を引き起こす可能性があることがわかりました。local_name { }またはlocal { }構成ブロックを含むDovecot構成のみが影響を受けます。

  - CVE-2017-15132Dovecotには、中止されたSASL認証のログインプロセスにメモリリークの欠陥が含まれることが判明しました。

複数の脆弱性がDovecotメールサーバーで発見されました。Common Vulnerabilities and Exposures プロジェクトでは、次の問題を特定しています：

CVE-2017-14461

Cisco TalosのAleksandar Nikolic氏と「flxflndy」は、Dovecotが無効なメールアドレスを適切に解析していないことを発見しました。これにより、クラッシュが引き起こされたり、メモリコンテンツが攻撃者に漏洩されたりする可能性があります。

CVE-2017-15130

TLS SNI構成検索が過剰なメモリ使用につながり、imap-login/pop3-login VSZ制限に達し、プロセスを再起動し、サービス拒否を引き起こす可能性があることがわかりました。local_name { }またはlocal { }構成ブロックを含むDovecot構成のみが影響を受けます。

CVE-2017-15132

Dovecotが、中止されたSASL認証のログインプロセスにメモリリークの欠陥を含むことが判明しました。

Debian 7「Wheezy」では、これらの問題はバージョン1:2.1.7-7+deb7u2で修正されました。

お使いのdovecotパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ～ 2.02.2.33 および 2.3.0のdovecot で欠陥が見つかりました。SASL 認証の中止により、ログインプロセスが使用する dovecot の認証クライアントでメモリ漏洩が発生します。この漏洩は、同じログインプロセスが再利用される高性能構成に影響を与え、メモリ枯渇によりプロセスがクラッシュする可能性があります。 （CVE-2017-15132）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Dovecotが特定の認証を不適切に処理することがわかりました。攻撃者がこれを利用して、サービス拒否を引き起こす可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このdovecot22の更新では、1つの問題を修正します。以下のセキュリティの問題が修正されました。

  - CVE-2017-15132：SASL認証の中止により、ログインプロセスによって使用されるdovecot認証クライアント内でメモリリークが発生しました。この漏洩は、同じログインプロセスが再利用される高性能構成に影響を与え、メモリ枯渇によってプロセスがクラッシュする可能性があります（bsc#1075608）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このdovecot22の更新では、1つの問題を修正します。

以下のセキュリティの問題が修正されました。

  - CVE-2017-15132：SASL認証の中止により、ログインプロセスによって使用されるdovecot認証クライアント内でメモリリークが発生しました。この漏洩は、同じログインプロセスが再利用される高性能構成に影響を与え、メモリ枯渇によってプロセスがクラッシュする可能性があります（bsc#1075608）。

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
106426	FreeBSD： dovecot -- SASL認証の中止により、メモリリークが発生します（92b8b284-a3a2-41b1-956c-f9cf8b74f500）	Nessus	FreeBSD Local Security Checks	2018/1/29	2018/11/10	high
107122	DebianDSA-4130-1：dovecot - セキュリティ更新	Nessus	Debian Local Security Checks	2018/3/5	2018/11/13	high
108767	Debian DLA-1333-1: dovecotセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2018/4/2	2024/11/22	high
220661	Linux Distros のパッチ未適用の脆弱性: CVE-2017-15132	Nessus	Misc.	2025/3/4	2025/9/30	high
106582	Ubuntu 14.04 LTS / 16.04 LTS : Dovecotの脆弱性 (USN-3556-1)	Nessus	Ubuntu Local Security Checks	2018/2/2	2024/8/27	high
106899	SUSE SLES12セキュリティ更新プログラム：dovecot22（SUSE-SU-2018:0466-1）	Nessus	SuSE Local Security Checks	2018/2/20	2019/9/10	high
106921	openSUSEセキュリティ更新プログラム：dovecot22（openSUSE-2018-189）	Nessus	SuSE Local Security Checks	2018/2/21	2021/1/19	high

検出

プラグインの検索

high

high

high

high

high

high

high