Dovecot author reports :

Dovecot v1.2.x had been creating base_dir (and its parents if necessary) with 0777 permissions. The base_dir's permissions get changed to 0755 automatically at startup, but you may need to chmod the parent directories manually.

Dovecot は、存在しない場合に、モード 0777 で構成済みの「base_dir」（/var/run/dovecot）を作成しました。このため、ローカルユーザーが、例えば認証ソケットで混乱を引き起こす可能性があります（CVE-2009-3897）。

注意：/var/run/dovecot は dovecot rpm の一部で、適切な権限設定があります。このため、dovecot は、openSUSE で出荷されるデフォルト構成で脆弱ではありません。

The remote host is affected by the vulnerability described in GLSA-201110-04 (Dovecot: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Dovecot. Please review       the CVE identifiers referenced below for details.
  Impact :

    A remote attacker could exploit these vulnerabilities to cause the       remote execution of arbitrary code, or a Denial of Service condition, to       conduct directory traversal attacks, corrupt data, or disclose       information.
  Workaround :

    There is no known workaround at this time.

A vulnerability was discovered and corrected in dovecot :

Dovecot 1.2.x before 1.2.8 sets 0777 permissions during creation of certain directories at installation time, which allows local users to access arbitrary user accounts by replacing the auth socket, related to the parent directories of the base_dir directory, and possibly the base_dir directory itself (CVE-2009-3897).

The updated packages have been patched to correct these issues.

The remote Redhat Enterprise Linux 5 host has one or more packages installed that are affected by multiple vulnerabilities that have been acknowledged by the vendor but will not be patched.

  - dovecot: Buffer overflow in indexer-worker process results in privilege escalation (CVE-2019-7524)

  - Dovecot 1.2.x before 1.2.8 sets 0777 permissions during creation of certain directories at installation     time, which allows local users to access arbitrary user accounts by replacing the auth socket, related to     the parent directories of the base_dir directory, and possibly the base_dir directory itself.
    (CVE-2009-3897)

  - Dovecot 1.1 before 2.2.13 and dovecot-ee before 2.1.7.7 and 2.2.x before 2.2.12.12 does not properly close     old connections, which allows remote attackers to cause a denial of service (resource consumption) via an     incomplete SSL/TLS handshake for an IMAP/POP3 connection. (CVE-2014-3430)

Note that Nessus has not tested for these issues but has instead relied on the package manager's report that the package is installed.

Dovecot created the configured 'base_dir' (/var/run/dovecot) with mode 0777 if it didn't exist, therefore allowing local users to mess with e.g. the authentication socket (CVE-2009-3897).

Note that /var/run/dovecot is part of the dovecot rpm with proper permission settings. Therefor dovecot is not vulnerable in the default configuration as shipped on openSUSE.

远程主机受到 GLSA-201110-04 中所述漏洞的影响（Dovecot：多种漏洞）

在 Dovecot 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可利用这些漏洞，造成远程执行任意代码或拒绝服务情况，以发动目录遍历攻击、损坏数据或泄露信息。
 变通方案：

目前无任何已知的变通方案。

遠端主機受到 GLSA-201110-04 中所述的弱點影響 (Dovecot：多個弱點)

在 Dovecot 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可惡意利用這些弱點，造成遠端執行任意程式碼，或拒絕服務情形，以發動目錄遊走攻擊、損毀資料，或洩漏資訊。
 因應措施：

目前尚無已知的因應措施。

リモートホストは、GLSA-201110-04（Dovecot：複数の脆弱性）

    Dovecot で、複数の脆弱性が発見されました。詳細については、以下に記載されているCVE識別番号を参照してください。
  影響：

    リモートの攻撃者がこれらの脆弱性を悪用して、任意のコードのリモート実行またはサービス拒否状態を引き起こして、ディレクトリトラバーサル攻撃を仕掛けたり、データを破損させたり、情報を漏洩させたりする可能性があります。
  回避策：

    現時点では、既知の回避策はありません。

dovecot で脆弱性が見つかり、修正されました。

1.2.8 より前の Dovecot 1.2.x は、インストール時に特定のディレクトリの作成の際に 0777 権限を設定します。これにより、ローカルのユーザーが、base_dir ディレクトリの親ディレクトリ、ならびに base_dir ディレクトリ自体に関連する、認証ソケットを置換することで、任意のユーザーアカウントにアクセスする可能性があります（CVE-2009-3897）。

更新パッケージには、これらの問題を修正するため、パッチが適用されています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
43104	FreeBSD : dovecot -- Insecure directory permissions (30211c45-e52a-11de-b5cd-00e0815b8da8)	Nessus	FreeBSD Local Security Checks	2009/12/11	2021/1/6	medium
44053	openSUSE セキュリティ更新：dovecot12（dovecot12-1811）	Nessus	SuSE Local Security Checks	2010/1/19	2021/1/14	medium
56446	GLSA-201110-04 : Dovecot: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2011/10/11	2021/1/6	high
48160	Mandriva Linux Security Advisory : dovecot (MDVSA-2009:306)	Nessus	Mandriva Local Security Checks	2010/7/30	2021/1/6	medium
198579	RHEL 5 : dovecot (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	2024/6/3	2024/6/3	high
44053	openSUSE Security Update : dovecot12 (dovecot12-1811)	Nessus	SuSE Local Security Checks	2010/1/19	2021/1/14	medium
56446	GLSA-201110-04：Dovecot：多种漏洞	Nessus	Gentoo Local Security Checks	2011/10/11	2021/1/6	high
56446	GLSA-201110-04：Dovecot：多個弱點	Nessus	Gentoo Local Security Checks	2011/10/11	2021/1/6	high
56446	GLSA-201110-04：Dovecot：複数の脆弱性	Nessus	Gentoo Local Security Checks	2011/10/11	2021/1/6	high
48160	Mandriva Linux セキュリティアドバイザリ：dovecot（MDVSA-2009:306）	Nessus	Mandriva Local Security Checks	2010/7/30	2021/1/6	medium

検出

プラグインの検索

medium

medium

high

medium

high

medium

high

high

high

medium