リモートの Ubuntu 16.04 LTS ホストには、USN-3258-2のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    USN-3258-1 は Dovecot の脆弱性を修正することを目的としていました。さらに調査したところ、Dovecotバージョン2.2.26以降のみがこの脆弱性の影響を受けることが明らかになりました。さらに、この変更により、Dovecot が dict 認証データベースを使用するように設定されたときに起こるリグレッションが発生しました。この更新プログラムは変更を元に戻します。ご不便をお掛けして申し訳ございません。



Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

このdovecot22のバージョン2.2.29.1への更新では、次の問題が修正されます：以下のセキュリティの問題が修正されました。

  - CVE-2017-2669：キーで%variablesを二重拡張しないでください。
    dictが認証passdbとして使用された場合、ユーザー名に特別に細工された%variablesを使用すると、DoSが引き起こされる可能性がありました（bsc#1032248）。現在は、追加で、より強力なSSLデフォルト暗号が使用されています。

更新パッケージには、セキュリティ関連以外の修正も含まれています。詳細については、アドバイザリを参照してください。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Dovecotメールサーバーがサービス拒否攻撃に脆弱であることがわかりました。「dict」passdbおよびuserdbがユーザー認証に使用されると、IMAP/POP3クライアントにより送信されるユーザー名がvar_expand（）を通じて送信され、%変数拡張が実行されます。巧妙に作りこまれた%variableフィールドを送信すると、過剰なメモリ使用により、プロセスがクラッシュ（および再起動）する可能性があります。

+ quota：保存できる個別メールの最大サイズを制限するプラグイン{quota_max_mail_size}設定を追加します。

  + imapc：imapc_features = delay-loginを追加します。設定した場合、リモートIMAPサーバーへの接続は必要になるまで行われません。

  + imapc：imapc_connection_retry_countおよびimapc_connection_retry_interval設定を追加します。

  + imap、pop3、indexer-worker：autoexpunging実行前にプロセスタイトルに（deinit）を追加します。

  + %{encrypt}および%{decrypt}変数を追加しました

  + imap/pop3プロキシ：エラーのプロキシ状態を人間が読み取れる文字列として記録します。

  + imap/pop3-login: passdbが返すすべてのforward_*追加フィールドは、ID/XCLIENTコマンドを使用してプロキシを行う際に、次のホップに送信されます。受信側では、これらのフィールドはインポートされてauthプロセスに送信され、 %{passdb:forward_*}でアクセスできるようになります。これは、送信IPアドレスがlogin_trusted_networksと一致する場合にのみ行われます。

  + imap-login：imap_id_retain = yesの場合、IMAP ID文字列を認証プロセスに送信します。%{client_id} は、authプロセスでこれに展開します。ID文字列は、プロキシ時に次のホップにも送信されます。

  + passdb imap：CAの検証にssl_client_ca_*設定を使用します。

  - fts-tika：Content-Dispositionヘッダーのない添付ファイルを解析するときのクラッシュを修正しました。2.2.28による破損。

  - ゴミ箱プラグインは2.2.28で破損しました

  - auth：passdb/userdb検索がauth-workersで行われた場合、過剰な量のデータが認証キャッシュに追加されていました。
    これにより、複数のpassdb/userdbを使用しているときに誤った返信が行われる可能性がありました。

  - auth：passdb {skip＆メカニズム}が最初のpassdbで無視されていました

  - oauth2：クラッシュの修正を含む、さまざまな修正

  - dsync：大きなSieveスクリプト（または他の大きなメタデータ）が常に同期されませんでした。

  - インデックスの再構築（doveadm force-resyncなど）により、すべてのメールが\Recentとして設定されます

  - imap-hibernate：%{userdb:*}は、mail_log_prefixで拡張されていませんでした

  - doveadm：doveadm-serverを介してコマンドをプロキシする際に、終了コードが保存されませんでした。ほとんどすべてのエラーで、終了コード75（tempfail）が使用されました。

  - ACLは、まだ作成されていない自動作成メールボックスには適用されませんでした。

  - 破損したメッセージヘッダーを解析する際に発生する可能性があるクラッシュを修正しました。

  - cassandra：フォールバック一貫性設定が正しく機能していませんでした。

  - doveadm directorのステータス<user>：「初期構成」が常に空でした

  + imapc：さまざまな再接続の修正。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Dovecotがいくつかのユーザー名を不適切に処理することがわかりました。攻撃者がこの問題を悪用して、Dovecotをクラッシュまたはハングさせ、サービス拒否を引き起こす可能性があります。

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

+ quota：保存できる個別メールの最大サイズを制限するプラグイン{quota_max_mail_size}設定を追加します。

  + imapc：imapc_features = delay-loginを追加します。設定した場合、リモートIMAPサーバーへの接続は必要になるまで行われません。

  + imapc：imapc_connection_retry_countおよびimapc_connection_retry_interval設定を追加します。

  + imap、pop3、indexer-worker：autoexpunging実行前にプロセスタイトルに（deinit）を追加します。

  + %{encrypt}および%{decrypt}変数を追加しました

  + imap/pop3プロキシ：エラーのプロキシ状態を人間が読み取れる文字列として記録します。

  + imap/pop3-login：passdbが返すすべてのforward_*追加フィールドは、ID/XCLIENTコマンドを使用してプロキシを行う際に、次のホップに送信されます。受信側では、これらのフィールドはインポートされてauthプロセスに送信され、 %{passdb:forward_*}でアクセスできるようになります。これは、送信IPアドレスがlogin_trusted_networksと一致する場合にのみ行われます。

  + imap-login：imap_id_retain = yesの場合、IMAP ID文字列を認証プロセスに送信します。%{client_id} は、authプロセスでこれに展開します。ID文字列は、プロキシ時に次のホップにも送信されます。

  + passdb imap：CAの検証にssl_client_ca_*設定を使用します。

  - fts-tika：Content-Dispositionヘッダーのない添付ファイルを解析するときのクラッシュを修正しました。2.2.28による破損。

  - ゴミ箱プラグインは2.2.28で破損しました

  - auth：passdb/userdb検索がauth-workersで行われた場合、過剰な量のデータが認証キャッシュに追加されていました。
    これにより、複数のpassdb/userdbを使用しているときに誤った返信が行われる可能性がありました。

  - auth：passdb {skip＆メカニズム}が最初のpassdbで無視されていました

  - oauth2：クラッシュの修正を含む、さまざまな修正

  - dsync：大きなSieveスクリプト（または他の大きなメタデータ）が常に同期されませんでした。

  - インデックスの再構築（doveadm force-resyncなど）により、すべてのメールが\Recentとして設定されます

  - imap-hibernate：%{userdb:*}は、mail_log_prefixで拡張されていませんでした

  - doveadm：doveadm-serverを介してコマンドをプロキシする際に、終了コードが保存されませんでした。ほとんどすべてのエラーで、終了コード75（tempfail）が使用されました。

  - ACLは、まだ作成されていない自動作成メールボックスには適用されませんでした。

  - 破損したメッセージヘッダーを解析する際に発生する可能性があるクラッシュを修正しました。

  - cassandra：フォールバック一貫性設定が正しく機能していませんでした。

  - doveadm directorのステータス<user>：「初期構成」が常に空でした

  + imapc：さまざまな再接続の修正。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このバージョン2.2.30.2へのdovecot22の更新では、次の問題が修正されます：

以下のセキュリティの問題が修正されました。

  - CVE-2017-2669: キーで%variablesを二重拡張しないでください。
    dictが認証passdbとして使用された場合、ユーザー名に特別に細工された%variablesを使用すると、DoSが引き起こされる可能性があります（bsc#1032248）

また、より強力なSSLデフォルト暗号が使用されるようになりました。

以下の非セキュリティの問題が修正されました。

  - すべての参照/etc/ssl/certs/を削除しますこれは今後使用すべきではありません（bsc#932386）

バージョン2.2.30.2には多数の修正と機能強化も含まれています：

  - 短時間内に複数の認証が失敗すると、クラッシュが発生しました。

  - パスワードに関連するすべての処理でtiming-safe比較を使用します。

  - マスタープロセスがシャットダウン時にすべての実行中の子に対し、すべてのソケットリスナーを速やかに閉じるように指示するSIGQUITを送信します。リスナーを長時間開いたままにしておくプロセスがあることが原因でDovecotの再起動が失敗することがなくなりました。

  -  別のpassdb検索と一致させるためpassdb ( mechanisms=none )を追加します

  - passdb ( username_filter ) を追加して、ユーザーがフィルターに一致した場合のみpassdbを使用するようにします。

  - dsync_commit_msgs_interval設定を追加します。これは、多数の新しいメッセージを保存した後にトランザクションのコミットを試みます。

  - ESEARCH拡張なしでimapc_features = searchをサポートします。

  - リモートサーバーのFETCH BODYおよびBODYSTRUCTUREをパススルーため、imapc_features = fetch-bodystructureを追加します。

  - リモートサーバーでGETQUOTA / GETQUOTAROOTを使用するためquota=imapcバックエンドを追加します。

  - allow_invalid_certおよびssl_ca_fileパラメーターを追加します。

  - dovecot.index.cacheの破損が検出された場合は、ファイル全体ではなく、破損した1つのメールのみをリセットしてください。

  - doveadmメールボックスステータスに「firstsaved」フィールドを追加します。

  - 古いホストのup/downおよびvhostカウントをパラメーターとしてdirector_flush_socketに追加します。

  - dovecot.list.indexの破損を自動的に修正するための追加の修正。

  - dsync_features = empty-header-workaroundのサポートを修正します。

  - IMAPクライアントがCONDSTORE / QRESYNCによりmodseqトラッキングを有効にしていない場合、IMAP NOTIFYがINBOX以外に対して機能しませんでした。

  - mbox形式で再び機能するようにfts-luceneを修正します。

  - v2.2.29で一部の内部エラーメッセージにガベージが含まれていることがありました。

  - メールおよびメールボックスごとの鍵のコピー/移動の使用時に再暗号化を実行します。このようにしないと、コピーされたメールを開くことができません。

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

Timo Sirainenによる報告:

passdb/userdb dict:キーの％variablesを二重に展開しないでください。dictが認証passdbとして使用された場合、ユーザー名に特別に細工された％variablesを使用することで、DoSが引き起こされる可能性があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
99303	Ubuntu 16.04 LTS : Dovecot のリグレッション (USN-3258-2)	Nessus	Ubuntu Local Security Checks	2017/4/12	2024/10/29	high
100152	SUSE SLES12セキュリティ更新プログラム：dovecot22（SUSE-SU-2017:1250-1）	Nessus	SuSE Local Security Checks	2017/5/12	2021/1/6	high
99292	Debian DSA-3828-1: dovecot - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2017/4/12	2021/1/11	high
101742	Fedora 26：1：dovecot（2017-e8b639c286）	Nessus	Fedora Local Security Checks	2017/7/17	2021/1/6	high
99279	Ubuntu 16.04 LTS: Dovecotの脆弱性（USN-3258-1）	Nessus	Ubuntu Local Security Checks	2017/4/11	2024/8/27	high
99721	Fedora 24：1: dovecot（2017-da4ed58fd5）	Nessus	Fedora Local Security Checks	2017/4/28	2021/1/6	high
101284	openSUSEセキュリティ更新プログラム：dovecot22 (openSUSE-2017-787)	Nessus	SuSE Local Security Checks	2017/7/7	2021/1/19	high
99697	Fedora 25：1: dovecot（2017-6ef28e38d6）	Nessus	Fedora Local Security Checks	2017/4/27	2021/1/6	high
99750	FreeBSD: dovecot -- passdb dictが認証に使用された場合のDovecot DoS（a8c8001b-216c-11e7-80aa-005056925db4）	Nessus	FreeBSD Local Security Checks	2017/5/1	2021/1/4	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high