在 Dovecot 的 ACL 外掛程式中發現一個瑕疵。ACL 外掛程式將負存取權視為正權限處理，進而允許攻擊者繞過預定的存取限制。(CVE-2008-4577)

在 Dovecot 的組態檔中發現一個密碼洩漏瑕疵。如果系統已定義 'ssl_key_password' 選項，任何本機使用者便可檢視 SSL 金鑰密碼。(CVE-2008-4870)

注意：此瑕疵並未允許攻擊者取得 SSL 金鑰的內容。若無任意使用者不應有讀取存取的金鑰檔，密碼便不會有值。

然而，為進一步保護此值，dovecot.conf 檔案現會支援 '!include_try' 指示詞。ssl_key_password 選項應從 dovecot.conf 移至 root (即 0600) 擁有且只能由 root 讀寫的新檔案。應設定 '!include_try [/path/to/password/file]' 選項，以從 dovecot.conf 參照此檔案。

此外，此更新還可解決下列錯誤：

- dovecot init 指令碼 -- /etc/rc.d/init.d/dovecot -- 並未檢查 dovecot 二進位或組態檔是否存在。這也會使用錯誤的 pid 檔案來檢查 dovecot 服務的狀態。此更新內含可更正這些錯誤的新 init 指令碼。

- dovecot 規格檔的 %files 區段不含 '%dir %{ssldir}/private'。因此，/etc/pki/private/ 目錄並非由 dovecot 擁有。
 (注意：/etc/pki/private/ 中的檔案之前和現在都並非由 dovecot 擁有。)透過此更新，遺漏的行已新增至規格檔，且上述目錄現已由 dovecot 擁有。

- 在某些舊版的 dovecot 中，驗證處理程序接受 (且傳遞時無逸出) 的密碼含有對 dovecot 的內部通訊協定有特別意義的字元。此更新版會避免傳回這種密碼，而是傳回錯誤「嘗試以包含非法字元的密碼登入」。

請注意：Scientific Linux 5 之前隨附的 dovecot 版本並不允許此行為。此更新可解決上述問題，但該問題只存於 Scientific Linux 5 先前未隨附的 dovecot 版本之中。

遠端 Oracle Linux 5 主機中安裝的套件受到 ELSA-2009-0205 公告中提及的多個弱點影響。

  - 在 1.1.4 之前的 Dovecot 中，ACL Plugin 會將否定性存取權限視為肯定性存取權限，進而允許攻擊者繞過預定的存取限制。(CVE-2008-4577)

  - Red Hat Enterprise Linux (RHEL) 5 (可能還有 Fedora) 中的 dovecot 1.0.7 會針對 dovecot.conf 使用任何人皆可讀取的權限，這允許本機使用者取得 ssl_key_password 參數值。(CVE-2008-4870)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 8.6 主機上安裝的多個套件受到 CIQ ciqsa-2026_0035 公告中提及的多個弱點影響。

    此公告彙總了 CIQ LTS 8.6中鴿子 SRPM 的安全修正。它解決了 21 個 CVE：
    CVE-2019-11500、CVE-2020-24386、 CVE-2020-25275CVE-2020-12100CVE-2017-14461和 16 個。

Tenable 已直接從 CIQ 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 MiracleLinux 3 主機已安裝一個受到 AXSA:2009-18:01 公告中所提及的多個弱點影響的套件。

    Dovecot 是一種適用於類似 Linux/UNIX 系統的 IMAP 伺服器編寫過程中首要注重安全性。其也包含小型的 POP3 伺服器。其支援 maildir 或 mbox 格式的郵件。
    修正的錯誤：
    CVE-2008-4577 在 1.1.4 之前的 Dovecot 中ACL 外掛程式會將負面的存取權視為正面的存取權來處理攻擊者因而得以繞過預定的存取限制。
    Red Hat Enterprise Linux (RHEL) 5 (可能還有 Fedora) 的CVE-2008-4870 dovecot 1.0.7 對 dovecot.conf 使用任何人皆可讀取的權限其允許本機使用者取得 ssl_key_password 參數值。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
60524	Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 dovecot	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
180610	Oracle Linux 5：dovecot (ELSA-2009-0205)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	high
357898	Rocky Linux 8.6 [CIQ] 安全性更新：dovecot / dovecot-debuginfo / dovecot-debugsource / dovecot-devel / etc 多個弱點（ciqsa-2026_0035）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/11	critical
283935	MiracleLinux 3 : dovecot-1.0.7-7.1AXS3 (AXSA:2009-18:01)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	high

偵測

搜尋 Plugin

medium

high

critical

high