リモートの Debian 9 ホストには、ddla-3052 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.5.14 より前の 2.5.x および 3.0.12 より前の 3.x の Cyrus IMAP は、HTTP リクエストが同じ接続を介して到着した無関係の前の要求の認証コンテキストで解釈される可能性があるため、権限の昇格が可能です。(CVE-2019-18928)

  - 3.4.2 より前の Cyrus IMAP により、リモート攻撃者が、ハッシュテーブルの相互作用の間に誤って処理された入力を介して、サービス拒否 (複数分のデーモンハング) を引き起こす可能性があります。単一のバケットへの挿入が多数あるため、strcmp が遅くなります。これは 3.4.2、3.2.8、および 3.0.16 で修正されました。(CVE-2021-33582)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの CentOS Linux 9 ホストに、cyrus- imapd-3.4.1-6.el9 ビルド変更ログに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  -3.4.2より前のCyrus IMAPにより、リモート攻撃者が、ハッシュテーブルの相互作用の間に誤って処理された入力を介して、サービス拒否 (複数分のデーモンハング) を引き起こす可能性があります。単一のバケットへの挿入が多数あるため、strcmp が遅くなります。これは 3.4.2、3.2.8、および 3.0.16 で修正されました。(CVE-2021-33582)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Cyrus IMAP 3.4.2リリースノートの記述：

CVE-2021-33582：特定のユーザー入力が、処理中にハッシュテーブルキーとして使用されます。不適切に選択された文字列ハッシュアルゴリズムにより、ユーザーはデータを保存するバケットをコントロールできるため、悪意のあるユーザーが多くの入力を単一のバケットに向けることができました。その後同じバケットに挿入するたびに、他のすべてのエントリのstrcmpが必要になります。数万エントリで、新しい挿入のたびに、数分間、strcmpループでCPUのビジー状態が維持される可能性があります。文字列ハッシュアルゴリズムがより優れたものに置き換えられ、ハッシュテーブルごとにランダムシードを使用するようになったため、悪意のある入力を事前に計算できなくなりました。

リモートの Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS ホストには、USN-7224-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    複数のリクエストが同じ接続を介して到着した場合、認証に関連しない HTTP リクエストが Cyrus IMAP Server による認証コンテキストで解釈される可能性があることが判明しました。認証されていない攻撃者がこの問題を利用して、権限昇格攻撃を実行する可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS のみです。(CVE-2019-18928)

    Matthew Horsfall 氏は、Cyrus IMAP Server が、データの保存場所を制御するために悪用される可能性のある、貧弱な文字列ハッシングアルゴリズムを使用していることを発見しました。攻撃者がこの問題を利用して、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS と Ubuntu 20.04 LTS のみです。(CVE-2021-33582)

    Damian Poddebniak 氏は、Cyrus IMAP Server が特別に細工されたコマンドを解釈して、メモリ問題を悪用する可能性があることを発見しました。認証済みの攻撃者がこの問題を利用して、サービス拒否を引き起こす可能性があります。
    この問題の影響を受けるのは、Ubuntu 22.04 LTS と Ubuntu 24.04 LTS のみです。(CVE-2024-34055)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージは、RHSA-2021：3492のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - cyrus-imapd：文字列ハッシュアルゴリズム衝突を介したサービス拒否（CVE-2021-33582）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのOracle Linux 8ホストに、ELSA-2021-3492アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  -3.4.2より前のCyrus IMAPにより、リモート攻撃者が、ハッシュテーブルの相互作用の間に誤って処理された入力を介して、サービス拒否（複数分のデーモンハング）を引き起こす可能性があります。単一のバケットへの挿入が多数あるため、strcmpが遅くなります。これは3.4.2、3.2.8、および3.0.16で修正されました。（CVE-2021-33582）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRocky Linux 8ホストには、RLSA-2021:3492アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  -3.4.2より前のCyrus IMAPにより、リモート攻撃者が、ハッシュテーブルの相互作用の間に誤って処理された入力を介して、サービス拒否 (複数分のデーモンハング) を引き起こす可能性があります。単一のバケットへの挿入が多数あるため、strcmp が遅くなります。これは 3.4.2、3.2.8、および 3.0.16 で修正されました。(CVE-2021-33582)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている cyrus-imapd のバージョンは、2.4.22-1.10 より前です。したがって、ALAS-2022-1559のアドバイザリに記載されている脆弱性の影響を受けます。

  -3.4.2より前のCyrus IMAPにより、リモート攻撃者が、ハッシュテーブルの相互作用の間に誤って処理された入力を介して、サービス拒否 (複数分のデーモンハング) を引き起こす可能性があります。単一のバケットへの挿入が多数あるため、strcmpが遅くなります。これは3.4.2、3.2.8、および3.0.16で修正されました。 (CVE-2021-33582)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージは、RHSA-2021：3493のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - cyrus-imapd：文字列ハッシュアルゴリズム衝突を介したサービス拒否（CVE-2021-33582）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージは、RHSA-2021：3546アドバイザリに記載されている脆弱性の影響を受けます。

  - cyrus-imapd：文字列ハッシュアルゴリズムの衝突によるサービス拒否（CVE-2021-33582）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている cyrus-imapd のバージョンは、2.4.22-1 より前です。したがって、ALAS2-2021-1725のアドバイザリに記載されている脆弱性の影響を受けます。

  -3.4.2より前のCyrus IMAPにより、リモート攻撃者が、ハッシュテーブルの相互作用の間に誤って処理された入力を介して、サービス拒否 (複数分のデーモンハング) を引き起こす可能性があります。単一のバケットへの挿入が多数あるため、strcmp が遅くなります。これは3.4.2、3.2.8、および3.0.16で修正されました。 (CVE-2021-33582)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2021：3492アドバイザリに記載されている脆弱性の影響を受けます。

  - cyrus-imapd：文字列ハッシュアルゴリズムの衝突によるサービス拒否（CVE-2021-33582）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
162402	Debian DLA-3052-1 : cyrus-imapd - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/6/20	2022/6/20	critical
191315	CentOS 9 : cyrus-imapd-3.4.1-6.el9	Nessus	CentOS Local Security Checks	2024/2/29	2024/4/26	high
153073	FreeBSD：cyrus-imapd -- ハッシュテーブルの相互作用の間に誤って処理された入力による、数分のデーモンハング（3d915d96-0b1f-11ec-8d9f-080027415d17）	Nessus	FreeBSD Local Security Checks	2021/9/7	2023/12/1	high
214517	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS : Cyrus IMAP Server の脆弱性 (USN-7224-1)	Nessus	Ubuntu Local Security Checks	2025/1/23	2025/1/23	critical
153233	RHEL 8：cyrus-imapd（RHSA-2021：3492）	Nessus	Red Hat Local Security Checks	2021/9/13	2024/11/7	high
153240	Oracle Linux 8：cyrus-imapd（ELSA-2021-3492）	Nessus	Oracle Linux Local Security Checks	2021/9/13	2024/11/1	high
157812	Rocky Linux 8cyrus-imapdRLSA-2021:3492	Nessus	Rocky Linux Local Security Checks	2022/2/9	2023/11/6	high
156870	Amazon Linux AMI：cyrus-imapd (ALAS-2022-1559 )	Nessus	Amazon Linux Local Security Checks	2022/1/20	2024/12/11	high
153231	RHEL 8：cyrus-imapd（RHSA-2021：3493）	Nessus	Red Hat Local Security Checks	2021/9/13	2024/11/7	high
153404	RHEL 8：cyrus-imapd（RHSA-2021: 3546）	Nessus	Red Hat Local Security Checks	2021/9/15	2024/11/7	high
155994	Amazon Linux 2: cyrus-imapd (ALAS-2021-1725 )	Nessus	Amazon Linux Local Security Checks	2021/12/10	2024/12/11	high
153411	CentOS 8：cyrus-imapd（CESA-2021：3492）	Nessus	CentOS Local Security Checks	2021/9/15	2021/9/15	high

検出

プラグインの検索

critical

high

high

critical

high

high

high

high

high

high

high

high