AlmaLinux 9.6 主機已安裝的套件會受到 TuxCare ALMALINUX9.6：CLSA-2026：1781096989 公告中提及的多個弱點影響。

  - 攻擊者可以使用 Dovecot 和 Client 之間特製的 base64 交換來偽造 SCRAM TLS 通道綁定。這要求攻擊者能夠將自己定位在 Dovecot 和客戶端連接之間。如果成功，攻擊者可以作為 MITM 代理竊聽 Dovecot 和客戶端之間的通信。安裝修正版本。目前尚無已知的公開漏洞。（CVE-2026-33603）

  - 攻擊者可透過 ManageSieve 服務 （或本機） 上傳惡意 Sieve 指令碼，以繞過 Sieve 設定的 CPU 時間限制，最多為設定限制的 130 倍。攻擊者可利用此功能降低伺服器效能，並繞過為 Sieve 指令碼設定的 CPU 時間限制。安裝修正版本，或防止透過 ManageSieve 或本機存取直接存取 Sieve 指令碼。目前尚無已知的公開漏洞。（CVE-2026-40016）

  - 即使 imap_acl_allow_anyone=no，攻擊者仍可使用 IMAP SETACL 命令將 anyone 權限插入使用者的 dovecot-acl 檔案。這會導致資料夾向所有使用者發送垃圾郵件。影響僅限於能夠向其他使用者發送垃圾郵件資料夾，不會獲得意外存取權限。安裝到固定版本。目前尚無已知的公開漏洞。（CVE-2026-40020）

  - 攻擊者可以透過 IMAP 上的過度大括號造成不受控制的記憶體使用。修復 CVE-2026-27857 並不完整，只阻止了一種方法，因此還有另一種方法尚未解決。特別是，修正是針對右大括號，但您仍然可以使用空大括號來繞過限制。使用過多的括號，攻擊者可導致記憶體使用量達到設定的記憶體限制。安裝固定版本，或將 imap 進程的vsz_limit設定為低值。目前尚無已知的公開漏洞。（CVE-2026-42006）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝的套件會受到 dsa-6313 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6313-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 31 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：鴿子CVE ID： CVE-2026-33603 CVE-2026-40016 CVE-2026-40020 CVE-2026-42006 CVE-2026-27851

    在 Dovecot IMAP 伺服器中發現多個弱點，這些弱點會導致拒絕服務、SQL 插入或中間人攻擊

    對於 oldstable 發行版 （bookworm），這些問題已在 .3.19.1+dfsg1-2.1+deb12u6 版 1:2中修正。

    對於穩定版 （trixie），這些問題已在 .4.1+dfsg1-6+deb13u6 版 1:2中修正。

    建議您升級 dovecot 套件。

    如需有關 dovecot 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/dovecot

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝的套件會受到 dla-4617 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 諮詢 DLA-4617-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 6 月 5 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 ： dovecot 版本 ： 1:2.3.13+dfsg1-2+deb11u4 CVE ID ： CVE-2026-33603 CVE-2026-40020 CVE-2026-42006 Debian 錯誤 ： 1136444

    在 POP3/IMAP 伺服器 dovecot 發現多個漏洞，可能導致拒絕服務或資訊洩露。

    CVE-2026-33603

        攻擊者可以使用 Dovecot 和用戶端之間特製的 base64 交換來偽造 SCRAM TLS 通道綁定，然後作為 MITM 代理竊聽 Dovecot 和用戶端之間的通訊。

    CVE-2026-40020

        即使「imap_acl_allow_anyone=no」，攻擊者仍可使用 IMAP 'SETACL' 命令將任何人權限插入使用者的 dovecot-acl 檔案，從而允許將資料夾傳送給所有使用者。（影響僅限於能夠向其他用戶發送垃圾郵件文件夾。不會取得意外存取權。

    CVE-2026-42006

        攻擊者可透過 IMAP 過度大括號，造成不受控制的記憶體使用。這源自於對 的 CVE-2026-27857不完整修正。

    對於 Debian 11 bullseye，這些問題已在 .3.13+dfsg1-2+deb11u4 版本 1:2中修復。

    建議您升級 dovecot 套件。

    如需有關 dovecot 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/dovecot

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2026：1780910915 公告中所述的多個弱點影響。

  - 攻擊者可透過 ManageSieve 服務 （或本機） 上傳惡意 Sieve 指令碼，以繞過 Sieve 設定的 CPU 時間限制，最多為設定限制的 130 倍。攻擊者可利用此功能降低伺服器效能，並繞過為 Sieve 指令碼設定的 CPU 時間限制。安裝修正版本，或防止透過 ManageSieve 或本機存取直接存取 Sieve 指令碼。目前尚無已知的公開漏洞。（CVE-2026-40016）

  - 即使 imap_acl_allow_anyone=no，攻擊者仍可使用 IMAP SETACL 命令將 anyone 權限插入使用者的 dovecot-acl 檔案。這會導致資料夾向所有使用者發送垃圾郵件。影響僅限於能夠向其他使用者發送垃圾郵件資料夾，不會獲得意外存取權限。安裝到固定版本。目前尚無已知的公開漏洞。（CVE-2026-40020）

  - 攻擊者可以透過 IMAP 上的過度大括號造成不受控制的記憶體使用。修復 CVE-2026-27857 並不完整，只阻止了一種方法，因此還有另一種方法尚未解決。特別是，修正是針對右大括號，但您仍然可以使用空大括號來繞過限制。使用過多的括號，攻擊者可導致記憶體使用量達到設定的記憶體限制。安裝固定版本，或將 imap 進程的vsz_limit設定為低值。目前尚無已知的公開漏洞。（CVE-2026-42006）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 22.04 LTS/24.04 LTS/25.10/26.04 LTS 主機上安裝的多個套件受到 USN-8365-1 公告中提及的多個弱點影響。

    據發現，Dovecot 在驗證篩選器中錯誤地將某些變數擴充管道視為安全。攻擊者可能會利用此問題來執行 SQL 或 LDAP 插入攻擊。受此問題影響的只有 Ubuntu 25.10與 Ubuntu 26.04 LTS。(CVE-2026-27851)

    據發現，Dovecot 在某些 base64 交換中錯誤地驗證了 SCRAM TLS 通道綁定。
    遠端攻擊者可能會利用此問題在中間機器攻擊中取得機密資訊。（CVE-2026-33603）

    據發現，Dovecot 錯誤地執行了 Sieve 指令碼 CPU 限制。攻擊者可能會利用此問題導致 Dovecot 使用過多資源，進而造成拒絕服務。
    (CVE-2026-40016)

    據發現，Dovecot 錯誤地處理了某些 IMAP SETACL 命令。攻擊者可能會利用此問題將資料夾傳送垃圾郵件給其他使用者。（CVE-2026-40020）

    據發現，Dovecot 錯誤地處理了過度的 IMAP 支撐。攻擊者可能會利用此問題導致 Dovecot 使用過多資源，進而造成拒絕服務。（CVE-2026-42006）

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 即使 imap_acl_allow_anyone=no，攻擊者仍可使用 IMAP SETACL 命令將 anyone 權限插入使用者的 dovecot-acl 檔案。這會導致資料夾向所有使用者發送垃圾郵件。影響僅限於能夠向其他使用者發送垃圾郵件資料夾，不會獲得意外存取權限。安裝到固定版本。目前尚無已知的公開漏洞。（CVE-2026-40020）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Rocky Linux 9.6 主機已安裝的套件會受到 TuxCare ALMALINUX9.6：CLSA-2026：1781096989 公告中提及的多個弱點影響。

  - 攻擊者可以使用 Dovecot 和 Client 之間特製的 base64 交換來偽造 SCRAM TLS 通道綁定。這要求攻擊者能夠將自己定位在 Dovecot 和客戶端連接之間。如果成功，攻擊者可以作為 MITM 代理竊聽 Dovecot 和客戶端之間的通信。安裝修正版本。目前尚無已知的公開漏洞。（CVE-2026-33603）

  - 攻擊者可透過 ManageSieve 服務 （或本機） 上傳惡意 Sieve 指令碼，以繞過 Sieve 設定的 CPU 時間限制，最多為設定限制的 130 倍。攻擊者可利用此功能降低伺服器效能，並繞過為 Sieve 指令碼設定的 CPU 時間限制。安裝修正版本，或防止透過 ManageSieve 或本機存取直接存取 Sieve 指令碼。目前尚無已知的公開漏洞。（CVE-2026-40016）

  - 即使 imap_acl_allow_anyone=no，攻擊者仍可使用 IMAP SETACL 命令將 anyone 權限插入使用者的 dovecot-acl 檔案。這會導致資料夾向所有使用者發送垃圾郵件。影響僅限於能夠向其他使用者發送垃圾郵件資料夾，不會獲得意外存取權限。安裝到固定版本。目前尚無已知的公開漏洞。（CVE-2026-40020）

  - 攻擊者可以透過 IMAP 上的過度大括號造成不受控制的記憶體使用。修復 CVE-2026-27857 並不完整，只阻止了一種方法，因此還有另一種方法尚未解決。特別是，修正是針對右大括號，但您仍然可以使用空大括號來繞過限制。使用過多的括號，攻擊者可導致記憶體使用量達到設定的記憶體限制。安裝固定版本，或將 imap 進程的vsz_limit設定為低值。目前尚無已知的公開漏洞。（CVE-2026-42006）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
361415	AlmaLinux 9.6 [TuxCare] 安全性更新：dovecot / dovecot-devel / dovecot-mysql / dovecot-pgsql / etc 多個弱點（ALMALINUX9.6：CLSA-2026：1781096989）	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	medium
318247	Debian dsa-6313 ： dovecot-auth-lua - 安全性更新	Nessus	Debian Local Security Checks	2026/6/2	2026/6/2	critical
318856	Debian dla-4617 ： dovecot-auth-lua - 安全性更新	Nessus	Debian Local Security Checks	2026/6/5	2026/6/5	medium
361499	AlmaLinux 9.2 [TuxCare] 安全性更新：dovecot / dovecot-devel / dovecot-mysql / dovecot-pgsql / etc多個弱點（ALMALINUX9.2：CLSA-2026：1780910915）	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	medium
318619	Ubuntu 22.04 LTS / 24.04 LTS / 25.10 / 26.04 LTS：Dovecot 漏洞（USN-8365-1）	Nessus	Ubuntu Local Security Checks	2026/6/4	2026/6/4	critical
315683	Linux Distros 未修補的弱點：CVE-2026-40020	Nessus	Misc.	2026/5/20	2026/10/20	medium
361423	Rocky Linux 9.6 [TuxCare] 安全性更新：dovecot / dovecot-devel / dovecot-mysql / dovecot-pgsql / etc 多個漏洞（ALMALINUX9.6：CLSA-2026：1781096989）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	medium

偵測

搜尋 Plugin

medium

critical

medium

medium

critical

medium

medium