リモートのDebian 12/13ホストには、dsa-6313アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6313-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 31 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:dovecot CVE ID: CVE-2026-33603 CVE-2026-40016 CVE-2026-40020 CVE-2026-42006 CVE-2026-27851

    Dovecot IMAP サーバーに、サービス拒否、SQL インジェクション、または中間者攻撃を引き起こす複数の脆弱性が発見されました

    旧安定版(oldstable)ディストリビューション(bookworm)では、これらの問題はバージョン 1:2.3.19.1+dfsg1-2.1+deb12u6 で修正されています。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 1:2.4.1+dfsg1-6+deb13u6 で修正されています。

    お使いの dovecot パッケージをアップグレードすることを推奨します。

    dovecot の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: 
    https://security-tracker.debian.org/tracker/dovecot

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 22.04 LTS / 24.04 LTS / 25.10 / 26.04 LTS ホストには、USN-8365-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Dovecot が、一部の変数拡張パイプラインを認証フィルターで安全であると誤って処理していることが判明しました。攻撃者がこの問題を悪用して、SQLまたはLDAPインジェクション攻撃を仕掛ける可能性があります。この問題の影響を受けるのは、Ubuntu 25.10 および Ubuntu 26.04 LTS のみです。(CVE-2026-27851)

    Dovecotが特定のbase64交換のSCRAM TLSチャネルバインディングを不適切に検証することがわかりました。
    リモートの攻撃者がこの問題を悪用して、中間者攻撃で秘密情報を取得する可能性があります。(CVE-2026-33603)

    Dovecot が Sieve スクリプトの CPU 制限を不適切に強制していることが判明しました。攻撃者がこの問題を悪用してDovecotに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。
    (CVE-2026-40016)

    Dovecotが特定のIMAP SETACLコマンドを不適切に処理することがわかりました。攻撃者がこの問題を悪用して、他のユーザーにフォルダーをスパムする可能性があります。(CVE-2026-40020)

    Dovecotが過剰なIMAPブレースを不適切に処理することがわかりました。攻撃者がこの問題を悪用してDovecotに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。(CVE-2026-42006)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-693373747f のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * CVE-2026-27851:lib-var-expand:安全フィルターは、以下のすべてのパイプラインを安全とマークします。
    * CVE-2026-33603:auth:CRAM-SHA-*-PLUS チャネルバインディングが偽装される可能性があります。
      クライアントが信頼する証明書のある MITM 攻撃者が、チャネルバインディングの要件をバイパスする可能性がありました。
    * CVE-2026-40020:IMAP フォルダをだれでも共有スパム送信できます。
    * CVE-2026-42006:攻撃者が、IMAP での過剰なブレースにより、制御されないメモリ使用率を引き起こすことがあります。CVE-2026-27857の修正は不完全でした。
    * indexer-worker、quota-status、script-login、program-client-local:ルート権限は、リクエストに応える前に永久に破棄されるようになりました。
    * indexer-worker:永続的な root 権限のドロップ後に正常に機能するように、デフォルトのrestart_request_countが 1 に変更されました。
    * lmtp:v2.4.3 で誤って削除された service_extra_groups=$SET:d efault_internal_group を戻して追加します。
    * マスター:inet_listener_reuse_port は service_reuse_port に置換されました。
      新しい設定では、起動時にすべてのリスナーソケットが適切に事前作成され、プロセスごとに一意のソケットが割り当てられます。これにより、ログインプロセスへの着信接続を均等に分散できます。


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-96eeb03b88 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * CVE-2026-27851:lib-var-expand:安全フィルターは、以下のすべてのパイプラインを安全とマークします。
    * CVE-2026-33603:auth:CRAM-SHA-*-PLUS チャネルバインディングが偽装される可能性があります。
      クライアントが信頼する証明書のある MITM 攻撃者が、チャネルバインディングの要件をバイパスする可能性がありました。
    * CVE-2026-40020:IMAP フォルダをだれでも共有スパム送信できます。
    * CVE-2026-42006:攻撃者が、IMAP での過剰なブレースにより、制御されないメモリ使用率を引き起こすことがあります。CVE-2026-27857の修正は不完全でした。
    * indexer-worker、quota-status、script-login、program-client-local:ルート権限は、リクエストに応える前に永久に破棄されるようになりました。
    * indexer-worker:永続的な root 権限のドロップ後に正常に機能するように、デフォルトのrestart_request_countが 1 に変更されました。
    * lmtp:v2.4.3 で誤って削除された service_extra_groups=$SET:d efault_internal_group を戻して追加します。
    * マスター:inet_listener_reuse_port は service_reuse_port に置換されました。
      新しい設定では、起動時にすべてのリスナーソケットが適切に事前作成され、プロセスごとに一意のソケットが割り当てられます。これにより、ログインプロセスへの着信接続を均等に分散できます。


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
318247	Debian dsa-6313:dovecot-auth-lua - セキュリティ更新	Nessus	Debian Local Security Checks	2026/6/2	2026/6/2	critical
318619	Ubuntu 22.04 LTS / 24.04 LTS / 25.10 / 26.04 LTS:Dovecot の脆弱性(USN-8365-1)	Nessus	Ubuntu Local Security Checks	2026/6/4	2026/6/4	critical
318284	Fedora 43:dovecot(2026-693373747f)	Nessus	Fedora Local Security Checks	2026/6/3	2026/6/3	critical
318245	Fedora 44:dovecot(2026-96eeb03b88)	Nessus	Fedora Local Security Checks	2026/6/2	2026/6/2	critical

検出

プラグインの検索

critical

critical

critical

critical