リモートの SUSE Linux SLES16 / SLES_SAP16 ホストには、SUSE-SU-2026:21208-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - v2.4.3 への更新
    - CVE-2025-59028無効な base64 認証により、他のログインの DoS を引き起こす可能性がありますbsc#1260894
    - CVE-2025-59031decode2text.sh OOXML 抽出は、シンボリックリンクに従い、インデックス作成中に意図しないファイルを読み取る可能性がありますbsc#1260895。
    - CVE-2025-59032pigeonholeクライアントとしての sieve-connect で ManageSieve パニックが発生しますbsc#1260902。
    - CVE-2026-24031auth_username_chars が空で構成されている場合、SQL インジェクションの可能性があります。常に発生するようにエスケープを修正しました。
      v2.4 回帰bsc#1260896。
    - CVE-2026-27855OTP ドライバーが反射攻撃に対して脆弱ですbsc#1260900。
    - CVE-2026-27856Doveadm 認証情報は、timing-safe チェック関数を使用してチェックされませんでしたbsc#1260899。
    - CVE-2026-27857括弧を送信することで、imap-login がメモリを過剰に使用しますbsc#1260898。
    - CVE-2026-27858pigeonholemanagesieve-login は認証中に大量のメモリを割り当てることができますbsc#1260901。
    - CVE-2026-27859電子メールでの過剰な RFC 2231 MIME パラメーターにより、CPU 使用率が過剰になりますbsc#1260897。
    - CVE-2026-27860auth_username_chars が空で構成されている場合、 LDAP クエリインジェクションが可能です。常に発生するようにエスケープを修正しました。 v2.4 回帰bsc#1260893。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 12ホストには、dsa-6197アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6197-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 4 月 5 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ dovecot CVE ID CVE-2025-59031 CVE-2025-59032 CVE-2026-27855 CVE-2026-27856 CVE-2026-27857 CVE-2026-27858 CVE-2026-27859 CVE-2026-59028 CVE-2026-24031 CVE-2026-27860 CVE-2026-0394

    Dovecot IMAP サーバーに複数の脆弱性が見つかりました。これにより、サービス拒否、SQL インジェクション、パストラバーサル、リプレイ攻撃またはタイミングサイドチャネル攻撃が引き起こされます。

    旧安定版oldstableディストリビューションbookwolf では、これらの問題はバージョン 1:2.3.19.1+dfsg1-2.1+deb12u2 で修正されています。

    安定版stableディストリビューションtrixieでは、これらの問題はバージョン 1:2.4.1+dfsg1-6+deb13u4 で修正されています。

    お使いの dovecot パッケージをアップグレードすることを推奨します。

    dovecot の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: 
    https://security-tracker.debian.org/tracker/dovecot

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - auth_username_chars が空の場合、任意の LDAP フィルターを Dovecot の LDAP 認証に注入することが可能です。これは潜在的な制限のバイパスにつながり、LDAP構造のプローブを許可します。auth_username_chars を消去しないでください。または、修正済みバージョンをインストールしてください。一般的に悪用可能なものはありません。
    (CVE-2026-27860)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Ubuntu 22.04 LTS / 24.04 LTS / 25.10 ホストには、USN-8136-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Dovecotが無効なbase64 SASLデータを不適切に処理することがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは Ubuntu 25.10 のみです。(CVE-2025-59028)

    Dovecotスクリプトdecode2text.shがzipファイルを不適切に処理することがわかりました。攻撃者がこの問題を悪用して、秘密情報を取得する可能性があります。(CVE-2025-59031)

    Dovecotが特定のAUTHENTICATEリクエストを不適切に処理することがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。(CVE-2025-59032)

    Dovecotが特定のSQLベースの認証を不適切に処理することがわかりました。攻撃者がこの問題を悪用して、認証をバイパスする可能性があります。この問題の影響を受けるのは Ubuntu 25.10 のみです。(CVE-2026-24031)

    Dovecotが特定のLDAPベースの認証を不適切に処理することがわかりました。攻撃者がこの問題を利用して制限をバイパスし、LDAP構造のプローブを許可する可能性があります。この問題の影響を受けるのは Ubuntu 25.10 のみです。(CVE-2026-27860)

    Dovecot が特定の状況下で反射攻撃に脆弱であることが判明しました。攻撃者がこの問題を悪用して、認証をバイパスする可能性があります。(CVE-2026-27855)

    Dovecotが特定の状況でタイミング攻撃に対して脆弱であることがわかりました。攻撃者がこの問題を悪用して、認証をバイパスする可能性があります。(CVE-2026-27856)

    Dovecotが特定のIMAPログインリクエストを不適切に処理することがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。(CVE-2026-27857)

    Dovecotが特定の特別に細工されたメッセージを不適切に処理することがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。(CVE-2026-27858)

    Dovecotが特定の特別に細工されたメールメッセージを不適切に処理することがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。(CVE-2026-27859)

    Dovecotがファイルパスを不適切に処理することがわかりました。攻撃者がこの問題を悪用して、パストラバーサルを実行し、任意のファイルを取得または変更する可能性があります。この問題の影響を受けるのは、Ubuntu 22.04 LTS と Ubuntu 24.04 LTS のみです。(CVE-2026-0394)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20554-1 アドバイザリで言及されています。

    - v2.4.3 への更新
    - CVE-2025-59028無効な base64 認証により、他のログインの DoS を引き起こす可能性がありますbsc#1260894
    - CVE-2025-59031decode2text.sh OOXML 抽出は、シンボリックリンクに従い、インデックス作成中に意図しないファイルを読み取る可能性がありますbsc#1260895。
    - CVE-2025-59032pigeonholeクライアントとしての sieve-connect で ManageSieve パニックが発生しますbsc#1260902。
    - CVE-2026-24031auth_username_chars が空で構成されている場合、SQL インジェクションの可能性があります。常に発生するようにエスケープを修正しました。
      v2.4 回帰bsc#1260896。
    - CVE-2026-27855OTP ドライバーが反射攻撃に対して脆弱ですbsc#1260900。
    - CVE-2026-27856Doveadm 認証情報は、timing-safe チェック関数を使用してチェックされませんでしたbsc#1260899。
    - CVE-2026-27857括弧を送信することで、imap-login がメモリを過剰に使用しますbsc#1260898。
    - CVE-2026-27858pigeonholemanagesieve-login は認証中に大量のメモリを割り当てることができますbsc#1260901。
    - CVE-2026-27859電子メールでの過剰な RFC 2231 MIME パラメーターにより、CPU 使用率が過剰になりますbsc#1260897。
    - CVE-2026-27860auth_username_chars が空で構成されている場合、 LDAP クエリインジェクションが可能です。常に発生するようにエスケープを修正しました。 v2.4 回帰bsc#1260893。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
309128	SUSE SLES16 セキュリティ更新dovecot24SUSE-SU-2026:21208-1]	Nessus	SuSE Local Security Checks	2026/4/22	2026/5/1	high
305037	Debian dsa-6197dovecot-auth-lua - セキュリティ更新	Nessus	Debian Local Security Checks	2026/4/5	2026/5/19	high
304092	Linux Distros のパッチ未適用の脆弱性: CVE-2026-27860	Nessus	Misc.	2026/3/28	2026/11/6	medium
304437	Ubuntu 22.04 LTS/ 24.04 LTS/ 25.10 Dovecot の脆弱性USN-8136-1	Nessus	Ubuntu Local Security Checks	2026/3/31	2026/4/20	high
309138	openSUSE 16 セキュリティ更新dovecot24openSUSE-SU-2026:20554-1	Nessus	SuSE Local Security Checks	2026/4/22	2026/5/1	high

検出

プラグインの検索

high

high

medium

high

high