遠端 Debian 12 主機已安裝的套件會受到 dla-4873 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4873-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：dovecot 版本： 1:2.3.19.1+dfsg1-2.1+deb12u7 CVE ID： CVE-2026-27852 CVE-2026-33263 CVE-2026-33604 CVE-2026-33605 CVE-2026-33606 CVE-2026-33607 CVE-2026-40013 CVE-2026-40014 CVE-2026-40015 CVE-2026-40017 CVE-2026-40018 CVE-2026-40203 CVE-2026-40204 CVE-2026-40205 CVE-2026-42007 CVE-2026-42008 CVE-2026-42391 CVE-2026-42393 CVE-2026-42394 CVE-2026-42395 CVE-2026-52681 CVE-2026-52687 CVE-2026-73208 CVE-2026-73209 Debian 錯誤：1146018

    在 POP3/IMAP 伺服器 dovecot 中發現多個漏洞，這些漏洞可能導致拒絕服務、SMTP 走私、資訊洩露、SQL 插入、遠端程式碼執行、繞過 ACL 限制或帳戶模擬。

    CVE-2026-27852

        可傳送郵件給使用者的攻擊者可以製作標頭包含大量電子郵件地址或 MIME 參數的郵件，這會導致稍後剖析郵件時過多的記憶體使用。

    CVE-2026-33263

        設定 'mail_max_userip_connections' （預設值為 10） 並達到時，submit-login 可能會當機，並因檔案描述元處理問題而導致 'epoll（）' 錯誤。

    CVE-2026-33604

        攻擊者可以讓 Dovecot 轉送訊息 （例如透過 Sieve 重新導向或提交轉送），可以使用以訊息正文結尾的特製行來繞過出站保護，以防止訊息內容被解譯為 SMTP 命令。

    CVE-2026-33605

        未經身份驗證的攻擊者可以在身份驗證前發送格式錯誤的小命令，從而使 ManageSieve 登錄過程崩潰。

    CVE-2026-33606

        使用者儲存的郵件內容可以經過精心設計，以便在管理員稍後使用串流通訊協定執行 dsync（1） 時（例如在移轉期間）將其解譯為 dsync 通訊協定命令。

    CVE-2026-33607

        經驗證的攻擊者可以使用特製的 IMAP LIST 命令，透過過多的 CPU 使用率造成拒絕服務。這是透過回溯到 20000 的邊界來緩解的;'match_sub（）' 會在超過此限制時傳回IMAP_MATCH_NO。

    CVE-2026-40013

        經過驗證的攻擊者可提交包含非常大的數字常值的 Sieve 指令碼，導致在 ManageSieve 服務編譯指令碼時發生越界寫入。

    CVE-2026-40014

        可向使用者傳送郵件的攻擊者可製作訊息標頭，使受害者的 IMAP THREAD 命令佔用與訊息大小不成比例的 CPU，進而造成拒絕服務。

    CVE-2026-40015

        經過身份驗證的攻擊者可以打開與 imap-hibernate 服務的許多連接並發送無效命令，這可能會間歇性地導致越界讀取並使處理程序崩潰，從而導致拒絕服務。

    CVE-2026-40017

        可傳送郵件給使用者的攻擊者可以製作訊息標頭，其值被選擇在內部雜湊表中衝突，這會使 IMAP THREAD 命令佔用與訊息大小不成比例的 CPU，進而造成拒絕服務。

        此修正程式引進了新的鍵控 xxh64 strmap 磁碟格式 v2。
        使用舊格式的 strmap 檔案會自動升級，因此較舊或未固定的 dovecot 版本無法讀取它們。

    CVE-2026-40018

        未經驗證的攻擊者可透過多位元組逸出執行 SQL 插入。

    CVE-2026-40203

        啟用 IMAP 壓縮時，會在階段作業中的回應之間重複使用相同的壓縮狀態，因此回應大小取決於攻擊者提供的郵件和相同信箱中的其他郵件。

        攻擊者如果可以傳送郵件給使用者，也可以觀察該使用者的 IMAP 流量大小，就可以確認小訊息的內文是否符合猜測的文字。未證明可以恢復任意未知內容，但攻擊可以洩露類似秘密的訊息內文是否與候選訊息相符。

        現在，透過在每個標記的回應行之後透過「Z_FULL_FLUSH」重設 DEFLATE 壓縮字典，可以緩解這種 CRIME 式的跨命令壓縮 oracle 攻擊。副作用是，工作階段中的總流量可能無法像修正前那樣有效地壓縮。

    CVE-2026-40204

        經過驗證的攻擊者可透過 lda_mailbox_autocreate（） 繞過 ACL。

    CVE-2026-40205

        持有僅授與部分必要範圍的 OAuth2 權杖的攻擊者可以進行驗證，因為當組態中需要多個範圍時，遠端權杖驗證路徑會接受僅攜帶其中一個範圍的權杖，而本機權杖驗證路徑正確需要所有權杖。

    CVE-2026-42007

        經過驗證的攻擊者可以使用具有 editheader 副檔名的 Sieve 指令碼，在郵件編輯程式碼中觸發釋放後使用，並將超出預期緩衝區的記憶體內容寫入傳送的郵件中，這可能會導致任意程式碼執行。

    CVE-2026-42008

        從列為受信任 Proxy 的主機接收的轉送資訊不會與 Dovecot 自己的驗證欄位分開保存，因此可以將該主機傳送的值插入為內部驗證欄位。因此，任何獲准作為受信任 Proxy 的主機都可以以任何使用者的身分進行驗證，而不需要知道該使用者的密碼。

    CVE-2026-42391

        未經身份驗證的攻擊者可以在登入前發送包含大量參數的 IMAP ID 命令，這會導致記憶體和 CPU 使用率不成比例地增長，從而導致拒絕服務。

    CVE-2026-42393

        用於 doveadm 密碼和 API 金鑰的比較並不完全計時安全，並且可能會向任何能夠準確測量回應計時的攻擊者洩露已設定密碼的長度。

    CVE-2026-42394

        Pigeonhole 的檔案儲存遵循解析指令碼路徑時遇到的任何符號鏈接，包括個人（使用者可寫入）儲存中的符號鏈接，其目標位於儲存目錄之外，從而允許透過符號連結遍歷進行任意檔案洩露。

        不再遵循逸出個人儲存目錄的符號連結。

    CVE-2026-42395

        列為受信任 Proxy 的主機可傳送包含 NUL 位元組的轉送資訊，這會在下次登入嘗試時當機登入程序，進而造成拒絕服務。

    CVE-2026-52681

        Sieve CPU 資源使用情形會在編譯的指令碼中追蹤，這允許未經驗證的攻擊者透過反覆變更作用中的指令碼來簡單重設帳戶。此外，刪除或重新命名指令碼時，不會移除編譯的指令碼檔案，導致磁碟上雜亂，並可能造成磁碟過度使用。

        累積 CPU 追蹤現在會在每個使用者的 sieve-rusage 檔案中追蹤，而不是在每個已編譯的 Sieve 指令碼的二進位標頭標頭中追蹤。

    CVE-2026-52687

        經過驗證的攻擊者可針對解壓縮狀態需要大量記憶體的 IMAP 連線選取壓縮演算法，並開啟數個此類連線，進而造成拒絕服務。

        IMAP COMPRESS 現在僅限於符合 RFC 4978 的 DEFLATE。

    CVE-2026-73208

        持有用於不同用途的權杖的攻擊者可以進行驗證，因為當 OAuth2 權杖回應不包含範圍宣告時，會使用對象宣告來取代其位置，並針對設定的必要範圍進行檢查。這些是不同的概念，受眾聲明並未描述令牌可以做什麼。

    CVE-2026-73209

        經過身份驗證的攻擊者可以發送特製的壓縮數據，導致受影響的處理程序耗盡其堆疊並崩潰，進而導致拒絕服務。

    對於 Debian 12 書蟲，這些問題已在 .3.19.1+dfsg1-2.1+deb12u7 版本 1:2中修復。

    建議您升級 dovecot 套件。

    如需有關 dovecot 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/dovecot

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4873 ： dovecot-auth-lua - 安全性更新

critical Nessus Plugin ID 374600

版本 1.1