リモートのDebian 13ホストには、dsa-6526アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6526-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 9 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:dovecot CVE ID: CVE-2026-27852 CVE-2026-33263 CVE-2026-33604 CVE-2026-33605 CVE-2026-33606 CVE-2026-33607 CVE-2026-40013 CVE-2026-40014 CVE-2026-40015 CVE-2026-40017 CVE-2026-40018 CVE-2026-40203 CVE-2026-40204 CVE-2026-40205 CVE-2026-42007 CVE-2026-42008 CVE-2026-42391 CVE-2026-42392 CVE-2026-42393 CVE-2026-42394 CVE-2026-42395 CVE-2026-52681 CVE-2026-52687 CVE-2026-73208 CVE-2026-73209 Debian バグ:1144639

    Dovecot IMAP サーバーに複数の脆弱性が発見されました。これにより、サービス拒否、SMTP スマグリング、情報漏洩、無効な形式の Sieve スクリプトを通じたコードインジェクション、または ACL 制限のバイパスが引き起こされる可能性があります。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 1:2.4.1+dfsg1-6+deb13u7 で修正されています。

    お使いの dovecot パッケージをアップグレードすることを推奨します。

    dovecot の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: 
    https://security-tracker.debian.org/tracker/dovecot

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 有効な認証情報を持つ攻撃者が、imap-hibernate サービスへの多数の接続を開き、無効なコマンドを送信することで、断続的に領域外読み取りを引き起こし、プロセスをクラッシュさせる可能性があります。クラッシュにより、影響を受けるプロセスが処理する休止状態の IMAP セッションが中断され、IMAP に対するサービスのデグレードが発生する可能性があります。IMAP ハイバネーションを無効にしてください。脆弱でないバージョンに更新してください。一般に利用可能な悪用は知られていません。(CVE-2026-40015)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-e8a6485109 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - 2.4.5 へ更新され、多くのセキュリティ修正が行われました

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-2e6b786570 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - 2.4.5 へ更新され、多くのセキュリティ修正が行われました

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21720-1 アドバイザリで言及されています。

    2.4.5 に更新してください。

    - CVE-2026-33263:「submission-login」:「mail_max_userip_connections」に到達するとパニックが発生します(bsc#1276794)。
    - CVE-2026-27852:不適切なヘッダーのあるメールを送信することによる DoS(bsc#1276799)。
    - CVE-2026-33604:ベアキャリッジリターン後のドットスタッフィングの欠落によるスマグリングをSMTPします(bsc#1276802)。
    - CVE-2026-33605:「managesieve-login」:事前認証のクラッシュ(bsc#1276809)。
    - CVE-2026-33606:「dsync」:メールコンテンツが「dsync」プロトコルインジェクションを引き起こす可能性があります(bsc#1276800)。
    - CVE-2026-33607:CPU サービス拒否につながる IMAP「LIST」「match_sub()」指数関数バックトラッキング(bsc#1276795)。
    - CVE-2026-40013:「pigeonhole」「ManageSieve」「CHECKSCRIPT/PUTSCRIPT」でのスタックバッファアンダーフロー(bsc#1276807)。
    - CVE-2026-40014:細工された参照ヘッダーによる CPU DoS(bsc#1276804)。
    - CVE-2026-40015:「imap-hibernate」はクラッシュする可能性があります(bsc#1276812)。
    - CVE-2026-40017:「strmap」での CRC32 ハッシュ衝突による CPU DoS(bsc#1276813)。
    - CVE-2026-40018:MySQLマルチバイトエスケープが不適切に実行されました(bsc#1276810)。
    - CVE-2026-40203:IMAP 圧縮により、同期された小さな電子メール本文が送信者が選択したテキスト(bsc#1276815)に一致するかどうかが明らかになる可能性があります。
    - CVE-2026-40204:「lda_mailbox_autocreate」は ACL 制限をバイパスできます(bsc#1276819)。
    - CVE-2026-40205:リモート検証パスの OR セマンティクスを介した OAuth2「passdb」スコープの強制バイパス(bsc#1276820)。
    - CVE-2026-42007:「sieve」「editheader」RCE(bsc#1276817)。
    - CVE-2026-42008:「XCLIENT FORWARD= bare」トークンが名前空間化されていません(bsc#1276824)。
    - CVE-2026-42391:「imap」:「ID」コマンドによるログイン前のメモリ/CPU の増加(bsc#1276835)。
    - CVE-2026-42392:「imap-urlauth」がメモリを漏洩して、ユーザーが確認できるエラーメッセージを作成します(bsc#1276829)。
    - CVE-2026-42393:「doveadm_password」または API キーの長さが、タイミング比較で漏洩する可能性があります(bsc#1276827)。
    - CVE-2026-52687:「imap」:「COMPRESS ZSTD」は過剰なメモリ使用を引き起こす可能性があります(bsc#1276837)。
    - CVE-2026-42395:単一の NUL バイト「XCLIENT FORWARD」ペイロードのクラッシュ(bsc#1276826)。
    - CVE-2026-52681:アクティブなスクリプトが変更されると、「sieve」リソース使用量の追跡が失われます(bsc#1276828)。
    - CVE-2026-73208:「auth」:「db-oauth2」:「aud」クレームが、欠如しているスコープクレームのフォールバックとして使用されます(bsc#1276830)。
    - CVE-2026-73209:ゼロ出力展開チャンクでの自己再帰による「imap-login」のクラッシュ(bsc#1276833)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 45 ホストには、FEDORA-2026-8b8efbd2b8 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - 2.4.5 へ更新され、多くのセキュリティ修正が行われました

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
350920	Debian dsa-6526:dovecot-auth-lua - セキュリティ更新	Nessus	Debian Local Security Checks	2026/9/29	2026/10/23	critical
341523	Linux Distros のパッチ未適用の脆弱性: CVE-2026-40015	Nessus	Misc.	2026/8/29	2026/9/30	medium
348253	Fedora 43:dovecot(2026-e8a6485109)	Nessus	Fedora Local Security Checks	2026/9/18	2026/10/23	critical
348254	Fedora 44:dovecot(2026-2e6b786570)	Nessus	Fedora Local Security Checks	2026/9/18	2026/10/23	critical
342588	openSUSE 16:dovecot24 / dovecot24-backend-mysql / dovecot24-backend-pgsql / etc(openSUSE-SU-2026:21720-1)	Nessus	SuSE Local Security Checks	2026/9/3	2026/10/23	critical
348271	Fedora 45:dovecot(2026-8b8efbd2b8)	Nessus	Fedora Local Security Checks	2026/9/18	2026/10/23	critical

検出

プラグインの検索

critical

medium

critical

critical

critical

critical