リモートの Debian 9 ホストには、ddla-3052 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.5.14 より前の 2.5.x および 3.0.12 より前の 3.x の Cyrus IMAP は、HTTP リクエストが同じ接続を介して到着した無関係の前の要求の認証コンテキストで解釈される可能性があるため、権限の昇格が可能です。(CVE-2019-18928)

  - 3.4.2 より前の Cyrus IMAP により、リモート攻撃者が、ハッシュテーブルの相互作用の間に誤って処理された入力を介して、サービス拒否 (複数分のデーモンハング) を引き起こす可能性があります。単一のバケットへの挿入が多数あるため、strcmp が遅くなります。これは 3.4.2、3.2.8、および 3.0.16 で修正されました。(CVE-2021-33582)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのOracle Linux 8ホストに、ELSA-2020-4655アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - バージョンが2.5.15より前、3.0.13より前の3.0.x、3.1.8より前の3.1.xのCyrus IMAPで、問題が見つかりました。Sieveスクリプトのアップロードが許可されている場合 (3.x ) 、または特定のデフォルト以外のSieveオプションが有効化されている場合 (2.x ) 、サービスにメールアカウントを持つユーザーは、fileintoディレクティブを含むsieveスクリプトを使用して、管理者権限のあるメールボックスを作成できます。これは、imap/lmtp_sieve.cのautosieve_createfolder()におけるフォルダの不適切な処理に起因します。 (CVE-2019-19783 )

  - 2.5.14より前の2.5.xおよび3.0.12より前の3.xのCyrus IMAPは、HTTPリクエストが同じ接続を介して到着した無関係の前の要求の認証コンテキストで解釈される可能性があるため、権限の昇格が可能です。 (CVE-2019-18928 )

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

cyrus-imapdのバージョン3.0.12に更新してください。これにはCVE-2019-18928の修正（と他の修正）が含まれています。
https://www.cyrusimap.org/imap/download/release-notes/3.0/x/3.0.12.htm l

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS ホストには、USN-7224-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    複数のリクエストが同じ接続を介して到着した場合、認証に関連しない HTTP リクエストが Cyrus IMAP Server による認証コンテキストで解釈される可能性があることが判明しました。認証されていない攻撃者がこの問題を利用して、権限昇格攻撃を実行する可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS のみです。(CVE-2019-18928)

    Matthew Horsfall 氏は、Cyrus IMAP Server が、データの保存場所を制御するために悪用される可能性のある、貧弱な文字列ハッシングアルゴリズムを使用していることを発見しました。攻撃者がこの問題を利用して、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS と Ubuntu 20.04 LTS のみです。(CVE-2021-33582)

    Damian Poddebniak 氏は、Cyrus IMAP Server が特別に細工されたコマンドを解釈して、メモリ問題を悪用する可能性があることを発見しました。認証済みの攻撃者がこの問題を利用して、サービス拒否を引き起こす可能性があります。
    この問題の影響を受けるのは、Ubuntu 22.04 LTS と Ubuntu 24.04 LTS のみです。(CVE-2024-34055)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 4655アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - cyrus-imapd: HTTPリクエストにおける特権昇格（CVE-2019-18928）

  - cyrus-imapd: lmtpdコンポーネントが、fileintoが使用された場合に、管理者権限でメールボックスを作成し、ACLチェックをバイパスしていました（CVE-2019-19783）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2020: 4655のアドバイザリに記載されている脆弱性の影響を受けます。

  - cyrus-imapd: HTTPリクエストにおける特権昇格（CVE-2019-18928）

  - cyrus-imapd: lmtpdコンポーネントが、fileintoが使用された場合に、管理者権限でメールボックスを作成し、ACLチェックをバイパスしていました（CVE-2019-19783）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
162402	Debian DLA-3052-1 : cyrus-imapd - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/6/20	2022/6/20	critical
142756	Oracle Linux 8：cyrus-imapd (ELSA-2020-4655 )	Nessus	Oracle Linux Local Security Checks	2020/11/12	2024/11/1	critical
131709	Fedora 30：cyrus-imapd（2019-393e1cef4d）	Nessus	Fedora Local Security Checks	2019/12/5	2024/4/5	critical
214517	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS : Cyrus IMAP Server の脆弱性 (USN-7224-1)	Nessus	Ubuntu Local Security Checks	2025/1/23	2025/1/23	critical
131706	Fedora 31：cyrus-imapd（2019-03be160f9c）	Nessus	Fedora Local Security Checks	2019/12/5	2024/4/5	critical
142383	RHEL 8: cyrus-imapd（RHSA-2020: 4655)	Nessus	Red Hat Local Security Checks	2020/11/4	2024/11/7	critical
145926	CentOS 8：cyrus-imapd（CESA-2020：4655）	Nessus	CentOS Local Security Checks	2021/2/1	2021/3/23	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical