遠端主機受到 GLSA-201904-19 中所述的弱點影響 (Dovecot：多個弱點) 在 Dovecot 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：如需詳細資料，請檢閱提及的 CVE 識別碼。因應措施：目前尚無已知的因應措施。

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2019: 3467 公告中提及的弱點影響。

  - dovecot：不當的憑證驗證 (CVE-2019-3814)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機上安裝的測試產品版本比測試版本舊。因此，會受到 ALAS2-2020-1473 公告中所提及的多個弱點影響。

  - 據發現，Dovecot 2.2.36.1 和 2.3.4.1 之前版本未正確處理某些用戶端憑證。如果遠端攻擊者擁有具有空白使用者名稱欄位的有效憑證，則可能利用此問題模擬其他使用者。(CVE-2019-3814)

  在 Dovecot 2.2.36.3 之前版本和 2.3.x 的 2.3.5.1 之前版本中，本機攻擊者可造成索引子工作者處理序中發生緩衝區溢位，並利用此弱點來提升權限至 root 權限。這是在 fts 和 pop3-uidl 元件中遺漏檢查所致。(CVE-2019-7524)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

現已提供適用於 Red Hat Enterprise Linux 8 的 dovecot 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Dovecot 是一種適用於 Linux 和其他類似 Unix 系統的 IMAP 伺服器，編寫過程中首要注重安全性。其亦包含一個小型 POP3 伺服器，並支援 maildir 或 mbox 格式的電子郵件。SQL 驅動程式和驗證外掛程式將以子套件形式提供。安全性修正：* dovecot：不當憑證驗證 (CVE-2019-3814) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。其他變更：如需有關此發行版本的詳細變更資訊，請參閱可從〈參照〉一節連結的 Red Hat Enterprise Linux 8.1 版本資訊。

* dovecot：不當憑證驗證* dovecot：索引工作者處理程序中的緩衝區溢位導致權限提高

據發現，Dovecot 未正確處理用戶端憑證。如果遠端攻擊者擁有具有空白使用者名稱欄位的有效憑證，則可能利用此問題模擬其他使用者。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Oracle Linux 7 主機中安裝的套件受到 ELSA-2020-1062 公告中提及的多個弱點影響。

  - 據發現，Dovecot 2.2.36.1 和 2.3.4.1 之前版本未正確處理某些用戶端憑證。如果遠端攻擊者擁有具有空白使用者名稱欄位的有效憑證，則可能利用此問題模擬其他使用者。(CVE-2019-3814)

  在 Dovecot 2.2.36.3 之前版本和 2.3.x 的 2.3.5.1 之前版本中，本機攻擊者可造成索引子工作者處理序中發生緩衝區溢位，並利用此弱點來提升權限至 root 權限。這是在 fts 和 pop3-uidl 元件中遺漏檢查所致。(CVE-2019-7524)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 1062 公告中提及的多個弱點影響。

  - dovecot：不當的憑證驗證 (CVE-2019-3814)

  - dovecot：索引子工作者處理程序中的緩衝區溢位導致權限提升 (CVE-2019-7524)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 CentOS Linux 7 主機上安裝的套件受到 RHSA-2020:1062 公告中提及的多個弱點影響。

  - 據發現，Dovecot 2.2.36.1 和 2.3.4.1 之前版本未正確處理某些用戶端憑證。如果遠端攻擊者擁有具有空白使用者名稱欄位的有效憑證，則可能利用此問題模擬其他使用者。(CVE-2019-3814)

  在 Dovecot 2.2.36.3 之前版本和 2.3.x 的 2.3.5.1 之前版本中，本機攻擊者可造成索引子工作者處理序中發生緩衝區溢位，並利用此弱點來提升權限至 root 權限。這是在 fts 和 pop3-uidl 元件中遺漏檢查所致。(CVE-2019-7524)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

執行 CORE 5.04 / MAIN 5.04 版的遠端 NewStart CGSL 主機上安裝的 dovecot 套件受到多個弱點影響：

  在 Dovecot 2.2.36.3 之前版本和 2.3.x 的 2.3.5.1 之前版本中，本機攻擊者可造成索引子工作者處理序中發生緩衝區溢位，並利用此弱點來提升權限至 root 權限。這是在 fts 和 pop3-uidl 元件中遺漏檢查所致。(CVE-2019-7524)

  - 據發現，Dovecot 2.2.36.1 和 2.3.4.1 之前版本未正確處理某些用戶端憑證。如果遠端攻擊者擁有具有空白使用者名稱欄位的有效憑證，則可能利用此問題模擬其他使用者。(CVE-2019-3814)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

halfdog 在 Dovecot 電子郵件伺服器中發現驗證繞過弱點。在某些組態下，Dovecot 透過驗證而不是失敗，錯誤地信任提供的使用者名稱。如果沒有其他密碼驗證，這將使攻擊者能夠以系統中任何人的身份登入。只有使用以下的安裝：- auth_ssl_require_client_cert = yes - auth_ssl_username_from_cert = yes 受到此缺陷影響。

在 Dovecot 2.2.36.3 之前版本和 2.3.5.1 之前的 2.3.x 版本中，本機攻擊者可造成索引子工作者處理序中發生緩衝區溢位，其可用來提升至 root。這是在 fts 和 pop3-uidl 元件中遺漏檢查所致。(CVE-2019-7524)

據發現，版本早於 2.2.36.1 和 2.3.4.1 的 Dovecot 未正確處理某些用戶端憑證。如果遠端攻擊者擁有具有空白使用者名稱欄位的有效憑證，則可能利用此問題模擬其他使用者。(CVE-2019-3814)

執行 CORE 5.05 / MAIN 5.05 版的遠端 NewStart CGSL 主機上安裝的 dovecot 套件受到多個弱點影響：

  在 Dovecot 2.2.36.3 之前版本和 2.3.x 的 2.3.5.1 之前版本中，本機攻擊者可造成索引子工作者處理序中發生緩衝區溢位，並利用此弱點來提升權限至 root 權限。這是在 fts 和 pop3-uidl 元件中遺漏檢查所致。(CVE-2019-7524)

  - 據發現，Dovecot 2.2.36.1 和 2.3.4.1 之前版本未正確處理某些用戶端憑證。如果遠端攻擊者擁有具有空白使用者名稱欄位的有效憑證，則可能利用此問題模擬其他使用者。(CVE-2019-3814)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

在 dovecot IMAP/POP3 伺服器中發現一個弱點。如果同時啟用 auth_ssl_{require_client,username_from}_cert，則 TLS 使用者名稱處理中的缺陷可導致攻擊者以系統中其他任何人的身份登入。針對 Debian 8「Jessie」，此問題已在 dovecot 的 1:2.2.13-12+deb8u5 版本中修正。建議您升級 dovecot 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Oracle Linux 8 主機上安裝的套件受到 ELSA-2019-3467 公告中提及的一個弱點影響。

  - 據發現，Dovecot 2.2.36.1 和 2.3.4.1 之前版本未正確處理某些用戶端憑證。如果遠端攻擊者擁有具有空白使用者名稱欄位的有效憑證，則可能利用此問題模擬其他使用者。(CVE-2019-3814)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 據發現，Dovecot 2.2.36.1 和 2.3.4.1 之前版本未正確處理某些用戶端憑證。如果遠端攻擊者擁有具有空白使用者名稱欄位的有效憑證，則可能利用此問題模擬其他使用者。(CVE-2019-3814)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
124132	GLSA-201904-19：Dovecot：多個弱點	Nessus	Gentoo Local Security Checks	2019/4/18	2024/6/3	high
145614	CentOS 8：dovecot (CESA-2019: 3467)	Nessus	CentOS Local Security Checks	2021/1/29	2025/2/20	medium
139852	Amazon Linux 2：dovecot (ALAS-2020-1473)	Nessus	Amazon Linux Local Security Checks	2020/8/26	2024/12/11	high
130542	RHEL 8：dovecot (RHSA-2019:3467)	Nessus	Red Hat Local Security Checks	2019/11/6	2025/2/24	medium
135805	Scientific Linux 安全性更新：SL7.x x86_64 上的 dovecot (20200407)	Nessus	Scientific Linux Local Security Checks	2020/4/21	2024/3/15	high
121619	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：Dovecot 弱點 (USN-3881-1)	Nessus	Ubuntu Local Security Checks	2019/2/6	2025/3/20	medium
180699	Oracle Linux 7：dovecot (ELSA-2020-1062)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/11/1	high
135038	RHEL 7：dovecot (RHSA-2020: 1062)	Nessus	Red Hat Local Security Checks	2020/3/31	2024/11/7	high
135329	CentOS 7：dovecot (RHSA-2020:1062)	Nessus	CentOS Local Security Checks	2020/4/10	2024/10/9	high
143982	NewStart CGSL CORE 5.04 / MAIN 5.04：dovecot 多個弱點 (NS-SA-2020-0071)	Nessus	NewStart CGSL Local Security Checks	2020/12/9	2024/2/5	high
121603	Debian DSA-4385-1：dovecot - 安全性更新	Nessus	Debian Local Security Checks	2019/2/6	2025/3/20	medium
136624	Amazon Linux AMI：dovecot (ALAS-2020-1363)	Nessus	Amazon Linux Local Security Checks	2020/5/15	2024/12/11	high
144049	NewStart CGSL CORE 5.05 / MAIN 5.05：dovecot 多個弱點 (NS-SA-2020-0105)	Nessus	NewStart CGSL Local Security Checks	2020/12/10	2024/2/2	high
122037	Debian DLA-1667-1：dovecot 安全性升級	Nessus	Debian Local Security Checks	2019/2/8	2025/3/20	medium
180813	Oracle Linux 8：dovecot (ELSA-2019-3467)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2025/2/19	medium
222905	Linux Distros 未修補弱點：CVE-2019-3814	Nessus	Misc.	2025/3/4	2025/9/3	medium

偵測

搜尋 Plugin

high

medium

high

medium

high

medium

high

high

high

high

medium

high

high

medium

medium

medium