CVE-2026-40020

Atakujący posiadający token przeznaczony do innego celu może się uwierzytelnić, ponieważ gdy odpowiedź tokena OAuth2 nie zawiera claimu scope, claim audience jest używany w jego miejsce i sprawdzany względem skonfigurowanych wymaganych zakresów. Są to różne koncepcje, a claim audience nie opisuje, co token może robić. Token, który nie przyznaje żadnych istotnych uprawnień, może zostać zaakceptowany, ponieważ jego wartość zamierzonego odbiorcy przypadkowo pasuje do skonfigurowanej nazwy zakresu, przyznając dostęp, który powinien być zabroniony. Ukrywa to również błędną konfigurację dostawcy tożsamości, gdzie zakresy nie są w ogóle wydawane. Upewnij się, że dostawca tożsamości wydaje claim scope dla wszystkich tokenów używanych z Dovecot i że skonfigurowane nazwy zakresów nie pasują do wartości audience. Zaktualizuj do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Atakujący z prawidłowymi poświadczeniami może wybrać algorytm kompresji dla połączenia IMAP, którego stan dekompresji wymaga dużej ilości pamięci, i otworzyć kilka takich połączeń. Limit pamięci procesu zostaje osiągnięty już przy kilku połączeniach, co powoduje zakończenie procesu i wszystkich obsługiwanych przez niego połączeń, co może prowadzić do degradacji lub odmowy usługi dla IMAP. Zaleca się wyłączenie kompresji IMAP lub ograniczenie liczby połączeń obsługiwanych przez pojedynczy proces imap-login, choć ma to wpływ na wydajność. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Host wymieniony jako zaufany proxy może wysłać informacje przekazywane zawierające bajt NUL, co powoduje awarię procesu logowania przy następnej próbie logowania. Proces logowania zostaje zakończony, co może powodować degradację lub odmowę usługi dla logowań. Wdrożenia, które nie konfigurują zaufanych proxy, nie są dotknięte. Zaleca się ograniczenie listy zaufanych sieci proxy do hostów w pełni kontrolowanych. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Porównanie używane dla hasła doveadm i klucza API nie jest w pełni bezpieczne czasowo i może ujawnić długość skonfigurowanego sekretu. Atakujący z dostępem do tej samej sieci co usługa doveadm, mogący wysyłać powtarzane żądania i dokładnie mierzyć czas odpowiedzi, może poznać długość sekretu, co zmniejsza wysiłek potrzebny do jego odgadnięcia. Sama wartość sekretu nie jest ujawniana. Ogranicz dostęp sieciowy do usługi doveadm do zaufanych klientów. Zaktualizuj do niepodatnej wersji. Nie są znane publiczne exploity.

Atakujący z prawidłowymi poświadczeniami może wysłać nieprawidłowe polecenie IMAP URLFETCH, co powoduje, że niezainicjalizowana pamięć jest zawarta w odpowiedzi o błędzie zwracanej klientowi. Zawartość pamięci procesu może zostać ujawniona klientowi, co może obejmować wrażliwe dane. Zaleca się wyłączenie funkcji IMAP URLAUTH. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Nieuwierzytelniony atakujący może wysłać polecenie IMAP ID z bardzo dużą liczbą parametrów przed zalogowaniem, co powoduje nieproporcjonalny wzrost użycia pamięci i CPU. Proces logowania może zostać zakończony przez obsługę braku pamięci, co również kończy wszystkie inne połączenia obsługiwane przez ten sam proces. Może to powodować degradację lub odmowę usługi dla logowań IMAP. Ogranicz liczbę połączeń obsługiwanych przez pojedynczy proces imap-login. Ma to jednak wpływ na wydajność. Zaktualizuj do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Informacje przekazywane od hosta wymienionego jako zaufany proxy nie są oddzielane od pól uwierzytelniania Dovecot, więc wartość wysłana przez ten host może zostać wstrzyknięta jako wewnętrzne pole uwierzytelniania. Każdy host uprawniony do działania jako zaufany proxy może uwierzytelnić się jako dowolny użytkownik bez znajomości jego hasła. Dotyczy to wdrożeń, w których baza haseł honoruje pole umożliwiające uwierzytelnienie bez hasła. Wdrożenia bez skonfigurowanych zaufanych proxy nie są dotknięte. Zaleca się ograniczenie listy zaufanych sieci proxy do hostów w pełni kontrolowanych. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Atakujący posiadający token OAuth2 z tylko częścią wymaganych zakresów może się uwierzytelnić, ponieważ gdy w konfiguracji wymaganych jest więcej niż jeden zakres, zdalne ścieżki walidacji tokenów akceptują token zawierający tylko jeden z nich, podczas gdy lokalna ścieżka walidacji poprawnie wymaga wszystkich. Skonfigurowana polityka autoryzacji nie jest egzekwowana, więc token z tylko częścią wymaganych uprawnień jest akceptowany tam, gdzie powinien zostać odrzucony. Zaleca się stosowanie lokalnej walidacji tokenów tam, gdzie jest to możliwe. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Nieuwierzytelniony atakujący może wysłać obcięty argument w cudzysłowie do procesu logowania ManageSieve, co powoduje zapętlenie w nieskończonej pętli zużywającej CPU. Może to powodować degradację lub odmowę usługi dla zarządzania skryptami Sieve, a powtarzane połączenia mogą zużyć całą dostępną moc CPU na serwerze. Zaleca się monitorowanie systemu pod kątem nietypowego zużycia CPU i zabicie procesu powodującego problem. Należy ograniczyć dostęp sieciowy do usługi ManageSieve tylko do zaufanych klientów. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Atakujący, który może wysyłać pocztę do użytkownika, może spreparować nagłówek wiadomości, którego wartości są dobrane tak, aby powodować kolizje w wewnętrznej tablicy haszującej, co sprawia, że polecenie IMAP THREAD zużywa CPU nieproporcjonalnie do rozmiaru wiadomości. Jest to osobny problem od CVE-2026-40014 i nie jest rozwiązany przez tamtą poprawkę. Gdy klient poczty wyda polecenie THREAD na dotkniętej skrzynce, może to powodować degradację lub odmowę usługi dla IMAP. Zaleca się monitorowanie systemu pod kątem nietypowego zużycia CPU, zabicie procesu powodującego problem i usunięcie szkodliwej wiadomości z dotkniętej skrzynki. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.