An updated dovecot package that corrects two security flaws and various bugs is now available for Red Hat Enterprise Linux 5.

This update has been rated as having low security impact by the Red Hat Security Response Team.

Dovecot is an IMAP server for Linux and UNIX-like systems, primarily written with security in mind.

A flaw was found in Dovecot's ACL plug-in. The ACL plug-in treated negative access rights as positive rights, which could allow an attacker to bypass intended access restrictions. (CVE-2008-4577)

A password disclosure flaw was found with Dovecot's configuration file. If a system had the 'ssl_key_password' option defined, any local user could view the SSL key password. (CVE-2008-4870)

Note: This flaw did not allow the attacker to acquire the contents of the SSL key. The password has no value without the key file which arbitrary users should not have read access to.

To better protect even this value, however, the dovecot.conf file now supports the '!include_try' directive. The ssl_key_password option should be moved from dovecot.conf to a new file owned by, and only readable and writable by, root (ie 0600). This file should be referenced from dovecot.conf by setting the '!include_try [/path/to/password/file]' option.

Additionally, this update addresses the following bugs :

* the dovecot init script -- /etc/rc.d/init.d/dovecot -- did not check if the dovecot binary or configuration files existed. It also used the wrong pid file for checking the dovecot service's status. This update includes a new init script that corrects these errors.

* the %files section of the dovecot spec file did not include '%dir %{ssldir}/private'. As a consequence, the /etc/pki/private/ directory was not owned by dovecot. (Note: files inside /etc/pki/private/ were and are owned by dovecot.) With this update, the missing line has been added to the spec file, and the noted directory is now owned by dovecot.

* in some previously released versions of dovecot, the authentication process accepted (and passed along un-escaped) passwords containing characters that had special meaning to dovecot's internal protocols.
This updated release prevents such passwords from being passed back, instead returning the error, 'Attempted login with password having illegal chars'.

Note: dovecot versions previously shipped with Red Hat Enterprise Linux 5 did not allow this behavior. This update addresses the issue above but said issue was only present in versions of dovecot not previously included with Red Hat Enterprise Linux 5.

Users of dovecot are advised to upgrade to this updated package, which addresses these vulnerabilities and resolves these issues.

A flaw was found in Dovecot's ACL plug-in. The ACL plug-in treated negative access rights as positive rights, which could allow an attacker to bypass intended access restrictions. (CVE-2008-4577)

A password disclosure flaw was found with Dovecot's configuration file. If a system had the 'ssl_key_password' option defined, any local user could view the SSL key password. (CVE-2008-4870)

Note: This flaw did not allow the attacker to acquire the contents of the SSL key. The password has no value without the key file which arbitrary users should not have read access to.

To better protect even this value, however, the dovecot.conf file now supports the '!include_try' directive. The ssl_key_password option should be moved from dovecot.conf to a new file owned by, and only readable and writable by, root (ie 0600). This file should be referenced from dovecot.conf by setting the '!include_try [/path/to/password/file]' option.

Additionally, this update addresses the following bugs :

  - the dovecot init script -- /etc/rc.d/init.d/dovecot --     did not check if the dovecot binary or configuration     files existed. It also used the wrong pid file for     checking the dovecot service's status. This update     includes a new init script that corrects these errors.

  - the %files section of the dovecot spec file did not     include '%dir %{ssldir}/private'. As a consequence, the     /etc/pki/private/ directory was not owned by dovecot.
    (Note: files inside /etc/pki/private/ were and are owned     by dovecot.) With this update, the missing line has been     added to the spec file, and the noted directory is now     owned by dovecot.

  - in some previously released versions of dovecot, the     authentication process accepted (and passed along     un-escaped) passwords containing characters that had     special meaning to dovecot's internal protocols. This     updated release prevents such passwords from being     passed back, instead returning the error, 'Attempted     login with password having illegal chars'.

Note: dovecot versions previously shipped with Scientific Linux 5 did not allow this behavior. This update addresses the issue above but said issue was only present in versions of dovecot not previously included with Scientific Linux 5.

リモートの Oracle Linux 5 ホストに、ELSA-2009-0205 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - 1.1.4 より前の Dovecot の ACL プラグインが、負のアクセス権を正のアクセス権であるかのように扱うため、攻撃者が意図されたアクセス制限をバイパスする可能性があります。(CVE-2008-4577)

  - Red Hat Enterprise Linux (RHEL) 5 (おそらく Fedora) の dovecot 1.0.7 は、dovecot.conf に対して誰でも読み取れる権限を使用します。このため、ローカルのユーザーが ssl_key_password パラメーター値を取得できます。(CVE-2008-4870)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Dovecot の ACL プラグインに欠陥が見つかりました。ACL プラグインは、ネガティブなアクセス権をポジティブな権限として処理していました。これにより、攻撃者が意図されたアクセス制限をバイパスする可能性がありました。（CVE-2008-4577）

Dovecot の構成ファイルに、パスワード漏洩の欠陥が見つかりました。システムに「ssl_key_password」オプションが定義されていた場合、ローカルユーザーが、SSL 鍵のパスワードを閲覧する可能性がありました。（CVE-2008-4870）

注意：この欠陥により、攻撃者が SSL 鍵のコンテンツを取得できることはありませんでした。パスワードには、任意のユーザーが読み取りアクセス権を持たないはずの鍵ファイルなしの値がありません。

ただし、この値をさらに保護するために、dovecot.conf ファイルが「!include_try」ディレクティブをサポートするようになりました。ssl_key_password オプションは、dovecot.conf から、root によって所有され、これによってのみ読み書き可能な新しいファイルへ移動されるはずです（ie 0600）。このファイルは、「!include_try [/path/to/password/file]」オプションを設定することで dovecot.conf から参照されるはずです。

また、この更新では、次のバグに対処しています。

- dovecot init スクリプト -- /etc/rc.d/init.d/dovecot -- は、dovecot バイナリまたは構成ファイルが存在するかどうかをチェックしませんでした。また、誤った pid ファイルを使用して dovecot サービスのステータスをチェックします。この更新には、これらのエラーを修正する新しい init スクリプトが含まれています。

- dovecot spec ファイルの %files セクションには、「%dir %{ssldir}/private」が含まれていませんでした。結果として、/etc/pki/private/ ディレクトリは dovecot によって所有されませんでした。
 （注：/etc/pki/private/ 内のファイルは、現在まで dovecot によって所有されています。）この更新では、欠落していた行が spec ファイルに追加され、注記付きのディレクトリが dovecot によって所有されるようになりました。

- 一部の過去にリリースされたバージョンの dovecot では、認証プロセスが、dovecot の内部プロトコルに対して特別な意味を持つ文字が含まれたパスワードを受け入れていました（そして未エスケープで通過）。この更新済みリリースでは、こうしたパスワードが通過するのを防ぎ、代わりにエラー「Attempted login with password having illegal chars」（不正な文字があるパスワードによるログインが試行されました）を返します。

注：Scientific Linux 5 に同梱されていた以前のバージョンの dovecot は、この挙動を許可しませんでした。この更新では上記の問題に対処していますが、この問題は Scientific Linux 5 に以前は同梱されていなかったバージョンの dovecot にのみ存在します。

The remote Oracle Linux 5 host has a package installed that is affected by multiple vulnerabilities as referenced in the ELSA-2009-0205 advisory.

  - The ACL plugin in Dovecot before 1.1.4 treats negative access rights as if they are positive access     rights, which allows attackers to bypass intended access restrictions. (CVE-2008-4577)

  - dovecot 1.0.7 in Red Hat Enterprise Linux (RHEL) 5, and possibly Fedora, uses world-readable permissions     for dovecot.conf, which allows local users to obtain the ssl_key_password parameter value. (CVE-2008-4870)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote host is affected by the vulnerability described in GLSA-200812-16 (Dovecot: Multiple vulnerabilities)

    Several vulnerabilities were found in Dovecot:
    The 'k'     right in the acl_plugin does not work as expected (CVE-2008-4577,     CVE-2008-4578)     The dovecot.conf is world-readable, providing     improper protection for the ssl_key_password setting     (CVE-2008-4870)     A permanent Denial of Service with broken mail     headers is possible (CVE-2008-4907)   Impact :

    These vulnerabilities might allow a remote attacker to cause a Denial     of Service, to circumvent security restrictions or allow local     attackers to disclose the passphrase of the SSL private key.
  Workaround :

    There is no known workaround at this time.

远程 Oracle Linux 5 主机上安装的一个程序包受到 ELSA-2009-0205 公告中提及的多个漏洞影响。

  - Dovecot 1.1.4 之前版本中的 ACL 插件将负访问权限视为正访问权限，这使攻击者能够绕过预期的访问限制。(CVE-2008-4577)

  - Red Hat Enterprise Linux (RHEL) 5（可能还有 Fedora）中的 dovecot 1.0.7 针对 dovecot.conf 使用全局可读权限，这使本地用户能够获得 ssl_key_password 参数值。(CVE-2008-4870)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Oracle Linux 5 主機中安裝的套件受到 ELSA-2009-0205 公告中提及的多個弱點影響。

  - 在 1.1.4 之前的 Dovecot 中，ACL Plugin 會將否定性存取權限視為肯定性存取權限，進而允許攻擊者繞過預定的存取限制。(CVE-2008-4577)

  - Red Hat Enterprise Linux (RHEL) 5 (可能還有 Fedora) 中的 dovecot 1.0.7 會針對 dovecot.conf 使用任何人皆可讀取的權限，這允許本機使用者取得 ssl_key_password 參數值。(CVE-2008-4870)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 Dovecot 的 ACL 插件中发现一个缺陷。ACL 插件将消极访问权限视为积极权限，这样可允许攻击者绕过预期访问限制。(CVE-2008-4577)

发现 Dovecot 配置文件的一个密码泄露缺陷。如果系统启用了“ssl_key_password”选项，则本地用户可查看 SSL 密钥密码。(CVE-2008-4870)

注意：此缺陷未允许攻击者获取 SSL 密钥的内容。如果缺少任意用户不应具有读取访问权限的密钥文件，密码将毫无价值。

但是，为更好地保护此值，dovecot.conf 文件现在支持“!include_try”指令。应将 ssl_key_password 选项从 dovecot.conf 移动到属于根（即 0600）且仅可由根读取的新文件。应通过设置"!include_try [/path/to/password/file]"选项从 dovecot.conf 引用此文件。

此外，此更新还解决了以下缺陷：

- dovecot init 脚本 -- /etc/rc.d/init.d/dovecot -- 未检查 dovecot 二进制或配置文件是否存在。它还将错误的 pid 文件用于检查 dovecot 服务的状态。此更新包含新的 init 脚本，修正了这些错误。

- dovecot spec 文件的 %files 部分未包含“%dir %{ssldir}/private”。因此，/etc/pki/private/ 目录不属于 dovecot。
 （注意：/etc/pki/private/ 内过去和现在的文件都属于 dovecot。）通过此更新，spec 文件中添加了缺少的行，所述目录现在属于 dovecot。

- 在之前发布的某些 dovecot 版本中，认证流程接受（并以未转义形式传递）包含对 dovecot 的内部协议具有特殊含义字符的密码。此更新后的版本会防止传回此类密码，而是返回“Attempted login with password having illegal chars”错误。

注意：Scientific Linux 5 之前随附的 dovecot 版本不允许此行为。此更新解决了以上问题，但仅之前未随附于 Scientific Linux 5 的 dovecot 版本中才存在上述问题。

在 Dovecot 的 ACL 外掛程式中發現一個瑕疵。ACL 外掛程式將負存取權視為正權限處理，進而允許攻擊者繞過預定的存取限制。(CVE-2008-4577)

在 Dovecot 的組態檔中發現一個密碼洩漏瑕疵。如果系統已定義 'ssl_key_password' 選項，任何本機使用者便可檢視 SSL 金鑰密碼。(CVE-2008-4870)

注意：此瑕疵並未允許攻擊者取得 SSL 金鑰的內容。若無任意使用者不應有讀取存取的金鑰檔，密碼便不會有值。

然而，為進一步保護此值，dovecot.conf 檔案現會支援 '!include_try' 指示詞。ssl_key_password 選項應從 dovecot.conf 移至 root (即 0600) 擁有且只能由 root 讀寫的新檔案。應設定 '!include_try [/path/to/password/file]' 選項，以從 dovecot.conf 參照此檔案。

此外，此更新還可解決下列錯誤：

- dovecot init 指令碼 -- /etc/rc.d/init.d/dovecot -- 並未檢查 dovecot 二進位或組態檔是否存在。這也會使用錯誤的 pid 檔案來檢查 dovecot 服務的狀態。此更新內含可更正這些錯誤的新 init 指令碼。

- dovecot 規格檔的 %files 區段不含 '%dir %{ssldir}/private'。因此，/etc/pki/private/ 目錄並非由 dovecot 擁有。
 (注意：/etc/pki/private/ 中的檔案之前和現在都並非由 dovecot 擁有。)透過此更新，遺漏的行已新增至規格檔，且上述目錄現已由 dovecot 擁有。

- 在某些舊版的 dovecot 中，驗證處理程序接受 (且傳遞時無逸出) 的密碼含有對 dovecot 的內部通訊協定有特別意義的字元。此更新版會避免傳回這種密碼，而是傳回錯誤「嘗試以包含非法字元的密碼登入」。

請注意：Scientific Linux 5 之前隨附的 dovecot 版本並不允許此行為。此更新可解決上述問題，但該問題只存於 Scientific Linux 5 先前未隨附的 dovecot 版本之中。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
35433	RHEL 5 : dovecot (RHSA-2009:0205)	Nessus	Red Hat Local Security Checks	2009/1/21	2021/1/14	medium
60524	Scientific Linux Security Update : dovecot on SL5.x i386/x86_64	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
180610	Oracle Linux 5: dovecot (ELSA-2009-0205)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/1/22	high
60524	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の dovecot	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
180610	Oracle Linux 5 : dovecot (ELSA-2009-0205)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/1/22	high
35108	GLSA-200812-16 : Dovecot: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2008/12/15	2021/1/6	medium
180610	Oracle Linux 5：dovecot (ELSA-2009-0205)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/1/22	high
180610	Oracle Linux 5：dovecot (ELSA-2009-0205)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/1/22	high
60524	Scientific Linux 安全更新：SL5.x i386/x86_64 中的 dovecot	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
60524	Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 dovecot	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium

検出

プラグインの検索

medium

medium

high

medium

high

medium

high

high

medium

medium