遠端 Debian 13 主機安裝的套件會受到 dsa-6526 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6526-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 9 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 ： 鴿子 CVE ID ： CVE-2026-27852 CVE-2026-33263 CVE-2026-33604 CVE-2026-33605 CVE-2026-33606 CVE-2026-33607 CVE-2026-40013 CVE-2026-40014 CVE-2026-40015 CVE-2026-40017 CVE-2026-40018 CVE-2026-40203 CVE-2026-40204 CVE-2026-40205 CVE-2026-42007 CVE-2026-42008 CVE-2026-42391 CVE-2026-42392 CVE-2026-42393 CVE-2026-42394 CVE-2026-42395 CVE-2026-52681 CVE-2026-52687 CVE-2026-73208 CVE-2026-73209 Debian 錯誤 ： 1144639

    在Dovecot IMAP伺服器發現多個漏洞，可導致拒絕服務、SMTP走私、資料洩露、透過格式錯誤的Sieve指令碼插入程式碼或繞過ACL限制。

    對於穩定版 （trixie），這些問題已在 .4.1+dfsg1-6+deb13u7 版 1:2中修正。

    建議您升級 dovecot 套件。

    如需有關 dovecot 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/dovecot

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 從列為受信任 Proxy 的主機接收的轉送資訊不會與 Dovecot 自己的驗證欄位分開保存，因此可以將該主機傳送的值插入為內部驗證欄位。任何獲准作為受信任 Proxy 的主機都可以以任何使用者的身分進行驗證，而不需要知道該使用者的密碼。這會影響其密碼資料庫接受允許無密碼驗證的欄位的部署。未設定受信任 Proxy 的部署不會受到影響。
    將受信任的 Proxy 網路清單限制為完全由您控制的主機。更新至無弱點版本。目前尚無已知的公開漏洞。（CVE-2026-42008）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上安裝的 dovecot 版本為 2.2.36-6 之前的版本。因此，它會受到 ALAS2-2026-3935 公告中所提及的多個弱點影響。

    可傳送郵件給使用者的攻擊者可以製作標頭包含大量電子郵件地址或 MIME 參數的郵件，這會導致稍後剖析郵件時過多的記憶體使用。
    訊息仍會傳遞，但透過 IMAP 讀取訊息可能會耗盡處理程序的記憶體限制並終止它，從而對受影響的使用者造成拒絕服務。更新至無弱點版本。目前尚無已知的公開漏洞。（CVE-2026-27852）

    具有有效認證的攻擊者可以使用具有 editheader 副檔名的 Sieve 指令碼，在郵件編輯程式碼中觸發釋放後使用，並將超出預期緩衝區的記憶體內容寫入已傳送的郵件中。這會導致記憶體洩漏，並有可能在郵件傳遞期間造成記憶體損毀，進而使傳遞程序當機，並可能允許在該程序的內容中執行任意程式碼。停用 Sieve 編輯標頭延伸模組。更新至無弱點版本。目前尚無已知的公開漏洞。（CVE-2026-42007）

    從列為受信任 Proxy 的主機接收的轉送資訊不會與 Dovecot 自己的驗證欄位分開保存，因此可以將該主機傳送的值插入為內部驗證欄位。任何獲准作為受信任 Proxy 的主機都可以以任何使用者的身分進行驗證，而不需要知道該使用者的密碼。這會影響其密碼資料庫接受允許無密碼驗證的欄位的部署。未設定受信任 Proxy 的部署不會受到影響。
    將受信任的 Proxy 網路清單限制為完全由您控制的主機。更新至無弱點版本。目前尚無已知的公開漏洞。（CVE-2026-42008）

    未經驗證的攻擊者可在登入前傳送包含大量參數的 IMAP ID 命令，進而導致記憶體和 CPU 使用率不成比例地增加。記憶體不足處理可以終止登入處理程序，這也會終止相同處理程序所處理的所有其他連線。這可能會導致 IMAP 登入降級或拒絕服務。限制單一 imap-login 處理程序處理的連線數量。不過，這會影響效能。更新至無弱點版本。目前尚無已知的公開漏洞。（CVE-2026-42391）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
350920	Debian dsa-6526 ： dovecot-auth-lua - 安全性更新	Nessus	Debian Local Security Checks	2026/9/29	2026/10/23	critical
341512	Linux Distros 未修補弱點：CVE-2026-42008	Nessus	Misc.	2026/8/29	2026/9/30	medium
351034	Amazon Linux 2：dovecot (ALAS-2026-3935)	Nessus	Amazon Linux Local Security Checks	2026/9/29	2026/9/29	critical

偵測

搜尋 Plugin

critical

medium

critical