Podatności Dovecot

Atakujący posiadający token przeznaczony do innego celu może się uwierzytelnić, ponieważ gdy odpowiedź tokena OAuth2 nie zawiera claimu scope, claim audience jest używany w jego miejsce i sprawdzany względem skonfigurowanych wymaganych zakresów. Są to różne koncepcje, a claim audience nie opisuje, co token może robić. Token, który nie przyznaje żadnych istotnych uprawnień, może zostać zaakceptowany, ponieważ jego wartość zamierzonego odbiorcy przypadkowo pasuje do skonfigurowanej nazwy zakresu, przyznając dostęp, który powinien być zabroniony. Ukrywa to również błędną konfigurację dostawcy tożsamości, gdzie zakresy nie są w ogóle wydawane. Upewnij się, że dostawca tożsamości wydaje claim scope dla wszystkich tokenów używanych z Dovecot i że skonfigurowane nazwy zakresów nie pasują do wartości audience. Zaktualizuj do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Atakujący z prawidłowymi poświadczeniami może wybrać algorytm kompresji dla połączenia IMAP, którego stan dekompresji wymaga dużej ilości pamięci, i otworzyć kilka takich połączeń. Limit pamięci procesu zostaje osiągnięty już przy kilku połączeniach, co powoduje zakończenie procesu i wszystkich obsługiwanych przez niego połączeń, co może prowadzić do degradacji lub odmowy usługi dla IMAP. Zaleca się wyłączenie kompresji IMAP lub ograniczenie liczby połączeń obsługiwanych przez pojedynczy proces imap-login, choć ma to wpływ na wydajność. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Host wymieniony jako zaufany proxy może wysłać informacje przekazywane zawierające bajt NUL, co powoduje awarię procesu logowania przy następnej próbie logowania. Proces logowania zostaje zakończony, co może powodować degradację lub odmowę usługi dla logowań. Wdrożenia, które nie konfigurują zaufanych proxy, nie są dotknięte. Zaleca się ograniczenie listy zaufanych sieci proxy do hostów w pełni kontrolowanych. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Porównanie używane dla hasła doveadm i klucza API nie jest w pełni bezpieczne czasowo i może ujawnić długość skonfigurowanego sekretu. Atakujący z dostępem do tej samej sieci co usługa doveadm, mogący wysyłać powtarzane żądania i dokładnie mierzyć czas odpowiedzi, może poznać długość sekretu, co zmniejsza wysiłek potrzebny do jego odgadnięcia. Sama wartość sekretu nie jest ujawniana. Ogranicz dostęp sieciowy do usługi doveadm do zaufanych klientów. Zaktualizuj do niepodatnej wersji. Nie są znane publiczne exploity.

Atakujący z prawidłowymi poświadczeniami może wysłać nieprawidłowe polecenie IMAP URLFETCH, co powoduje, że niezainicjalizowana pamięć jest zawarta w odpowiedzi o błędzie zwracanej klientowi. Zawartość pamięci procesu może zostać ujawniona klientowi, co może obejmować wrażliwe dane. Zaleca się wyłączenie funkcji IMAP URLAUTH. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Nieuwierzytelniony atakujący może wysłać polecenie IMAP ID z bardzo dużą liczbą parametrów przed zalogowaniem, co powoduje nieproporcjonalny wzrost użycia pamięci i CPU. Proces logowania może zostać zakończony przez obsługę braku pamięci, co również kończy wszystkie inne połączenia obsługiwane przez ten sam proces. Może to powodować degradację lub odmowę usługi dla logowań IMAP. Ogranicz liczbę połączeń obsługiwanych przez pojedynczy proces imap-login. Ma to jednak wpływ na wydajność. Zaktualizuj do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Informacje przekazywane od hosta wymienionego jako zaufany proxy nie są oddzielane od pól uwierzytelniania Dovecot, więc wartość wysłana przez ten host może zostać wstrzyknięta jako wewnętrzne pole uwierzytelniania. Każdy host uprawniony do działania jako zaufany proxy może uwierzytelnić się jako dowolny użytkownik bez znajomości jego hasła. Dotyczy to wdrożeń, w których baza haseł honoruje pole umożliwiające uwierzytelnienie bez hasła. Wdrożenia bez skonfigurowanych zaufanych proxy nie są dotknięte. Zaleca się ograniczenie listy zaufanych sieci proxy do hostów w pełni kontrolowanych. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Atakujący posiadający token OAuth2 z tylko częścią wymaganych zakresów może się uwierzytelnić, ponieważ gdy w konfiguracji wymaganych jest więcej niż jeden zakres, zdalne ścieżki walidacji tokenów akceptują token zawierający tylko jeden z nich, podczas gdy lokalna ścieżka walidacji poprawnie wymaga wszystkich. Skonfigurowana polityka autoryzacji nie jest egzekwowana, więc token z tylko częścią wymaganych uprawnień jest akceptowany tam, gdzie powinien zostać odrzucony. Zaleca się stosowanie lokalnej walidacji tokenów tam, gdzie jest to możliwe. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Nieuwierzytelniony atakujący może wysłać obcięty argument w cudzysłowie do procesu logowania ManageSieve, co powoduje zapętlenie w nieskończonej pętli zużywającej CPU. Może to powodować degradację lub odmowę usługi dla zarządzania skryptami Sieve, a powtarzane połączenia mogą zużyć całą dostępną moc CPU na serwerze. Zaleca się monitorowanie systemu pod kątem nietypowego zużycia CPU i zabicie procesu powodującego problem. Należy ograniczyć dostęp sieciowy do usługi ManageSieve tylko do zaufanych klientów. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Atakujący, który może wysyłać pocztę do użytkownika, może spreparować nagłówek wiadomości, którego wartości są dobrane tak, aby powodować kolizje w wewnętrznej tablicy haszującej, co sprawia, że polecenie IMAP THREAD zużywa CPU nieproporcjonalnie do rozmiaru wiadomości. Jest to osobny problem od CVE-2026-40014 i nie jest rozwiązany przez tamtą poprawkę. Gdy klient poczty wyda polecenie THREAD na dotkniętej skrzynce, może to powodować degradację lub odmowę usługi dla IMAP. Zaleca się monitorowanie systemu pod kątem nietypowego zużycia CPU, zabicie procesu powodującego problem i usunięcie szkodliwej wiadomości z dotkniętej skrzynki. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Atakujący z prawidłowymi poświadczeniami może otworzyć wiele połączeń do usługi imap-hibernate i wysyłać nieprawidłowe polecenia, co może sporadycznie powodować odczyt poza zakresem i awarię procesu. Awaria przerywa hibernowane sesje IMAP obsługiwane przez dotknięty proces, co może powodować degradację usługi dla IMAP. Zaleca się wyłączenie hibernacji IMAP. Należy zaktualizować do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Atakujący może wysłać użytkownikowi wiadomość ze specjalnie spreparowanym nagłówkiem, który powoduje, że polecenie IMAP THREAD zużywa nieproporcjonalnie dużo CPU w stosunku do rozmiaru wiadomości. Gdy klient poczty wykona polecenie THREAD na dotkniętej skrzynce, może to spowodować degradację lub odmowę usługi dla IMAP. Należy monitorować system pod kątem nieprawidłowego użycia CPU, zabić proces powodujący problem i usunąć szkodliwą wiadomość ze skrzynki. Zaktualizuj do niepodatnej wersji. Nie są znane publiczne exploity.

Atakujący z prawidłowymi poświadczeniami może przesłać skrypt Sieve zawierający ekstremalny literał numeryczny, co powoduje zapis poza zakresem podczas kompilacji skryptu przez usługę ManageSieve. Powoduje to uszkodzenie pamięci i zaobserwowany crash procesu ManageSieve, co prowadzi do odmowy usługi w zakresie zarządzania skryptami. Może to być również wykorzystane do zdalnego wykonania kodu. Należy wyłączyć usługę ManageSieve, jeśli użytkownicy nie potrzebują zdalnego zarządzania skryptami Sieve. Zaktualizuj do niepodatnej wersji. Nie są znane publiczne exploity.

Atakujący z prawidłowymi poświadczeniami może użyć polecenia IMAP LIST do zużywania CPU. Może to spowodować degradację lub odmowę usługi dla IMAP. Należy monitorować system pod kątem nieprawidłowego użycia CPU, zabić proces powodujący problem i zablokować konto. Alternatywnie zainstaluj poprawioną wersję. Nie są znane publiczne exploity.

Treść wiadomości przechowywana przez użytkownika może być spreparowana tak, aby była interpretowana jako polecenia protokołu dsync, gdy administrator później uruchomi dsync z protokołem strumieniowym, na przykład podczas migracji. Wstrzyknięte polecenia mogą modyfikować stan skrzynki na serwerze docelowym podczas migracji lub replikacji, w tym wewnętrzne atrybuty skrzynki, których użytkownik nie powinien móc ustawiać bezpośrednio. Może to również powodować błędy dsync. Należy unikać uruchamiania dsync z protokołem strumieniowym na skrzynkach z niezaufaną treścią. Zaktualizuj do niepodatnej wersji. Nie są znane publiczne exploity.

Nieuwierzytelniony atakujący może spowodować awarię procesu logowania ManageSieve, wysyłając małe, źle sformułowane polecenie przed uwierzytelnieniem. W trybie wysokiego bezpieczeństwa (domyślnym dla wydań społecznościowych) kończy się tylko połączenie atakującego. W trybie wysokiej wydajności (domyślnym dla wydań Pro) kończą się wszystkie połączenia obsługiwane przez ten sam proces managesieve-login. Powtarzanie ataku może spowodować denial of service dla zarządzania skryptami Sieve.

Atakujący, który może sprawić, że Dovecot przekaże wiadomość, na przykład przez przekierowanie Sieve lub relay submission, może użyć spreparowanego zakończenia linii w treści wiadomości, aby ominąć ochronę wychodzącą, która zapobiega interpretacji treści wiadomości jako poleceń SMTP. Serwer poczty niższego szczebla, który nie naprawił jeszcze podatności na przemycanie SMTP, może zostać oszukany, aby potraktować część treści wiadomości jako nowe polecenia SMTP, co pozwala na wstrzyknięcie sfałszowanej wiadomości e-mail. Jest to ta sama klasa podatności co CVE-2023-51764 i CVE-2023-51766. Jeśli kontrolujesz serwery poczty odbierające, upewnij się, że odrzucają gołe znaki powrotu karetki w danych wiadomości. Zaktualizuj do niepodatnej wersji. Nie są znane publiczne exploity.

Gdy ustawienie mail_max_userip_connections jest ustawione (domyślnie 10) i osiągnięte, submission-login może ulec awarii z powodu paniki epoll() spowodowanej problemami z obsługą deskryptorów plików. Jeśli działa w trybie wysokiego bezpieczeństwa (domyślnie dla wydań społecznościowych), tylko nowe połączenie submission zostaje zakończone. Jeśli działa w trybie wysokiej wydajności (domyślnie dla wydań Pro), wszystkie połączenia obsługiwane przez proces submission-login zostaną zakończone. Awarie mogą spowodować niepowodzenie wysyłania wiadomości przez użytkownika lub mogą spowodować wysłanie zduplikowanych wiadomości. Jeśli TLS nie jest używany (w serwerze zaplecza przetwarzającym submission), zduplikowane dostarczenia nie mogą wystąpić, ponieważ awaria może nastąpić tylko na etapie AUTH. Ogranicz liczbę połączeń obsługiwanych przez pojedynczy proces submission-login. Ma to jednak wpływ na wydajność. Zaktualizuj do niepodatnej wersji. Nie są znane publiczne exploity.

Atakujący, który może wysłać wiadomość do użytkownika, może stworzyć wiadomość z bardzo dużą liczbą adresów e-mail lub parametrów MIME w nagłówkach, co powoduje nadmierne zużycie pamięci podczas późniejszego parsowania wiadomości. Wiadomość jest nadal dostarczana, ale odczytanie jej przez IMAP może wyczerpać limit pamięci procesu i go zakończyć, powodując denial of service dla danego użytkownika.

W Dovecot atakujący może użyć polecenia IMAP SETACL, aby wstrzyknąć uprawnienie 'anyone' do pliku dovecot-acl użytkownika, nawet gdy imap_acl_allow_anyone=no. Powoduje to spamowanie folderami wszystkich użytkowników. Wpływ ogranicza się do możliwości spamowania folderami, nie uzyskuje się nieoczekiwanego dostępu.

Atakujący może użyć specjalnie spreparowanej wymiany base64 między Dovecot a klientem, aby sfałszować wiązanie kanału TLS SCRAM. Wymaga to umieszczenia się atakującego między Dovecot a połączeniem klienta; w przypadku powodzenia atakujący może podsłuchiwać komunikację jako proxy MITM.

Jeśli parametr auth_username_chars jest pusty, możliwe jest wstrzyknięcie dowolnego filtra LDAP do uwierzytelniania LDAP w Dovecot. Może to prowadzić do obejścia ograniczeń i sondowania struktury LDAP. Nie są znane publicznie dostępne exploity.

Podatność w narzędziu doveadm polega na weryfikacji poświadczeń poprzez bezpośrednie porównanie, co jest podatne na atak typu timing oracle. Atakujący może wykorzystać tę słabość do określenia skonfigurowanych poświadczeń.

Uwierzytelnianie OTP w Dovecot jest podatne na atak powtórzenia w określonych warunkach: gdy włączony jest cache uwierzytelniania, a nazwa użytkownika jest modyfikowana w passdb, poświadczenia OTP mogą zostać zapisane w cache, przez co ta sama odpowiedź OTP pozostaje ważna. Atakujący mogący obserwować wymianę OTP może zalogować się jako użytkownik.

Podatność w Dovecot umożliwia ominięcie uwierzytelniania SQL, gdy administrator wyczyści parametr auth_username_chars. Atakujący może uzyskać dostęp do dowolnego konta użytkownika oraz przeprowadzić enumerację użytkowników.

Gdy Dovecot jest skonfigurowany do używania plików passwd per-domena umieszczonych o jeden poziom ścieżki wyżej niż /etc lub gdy ukośnik dodano do dozwolonych znaków, może wystąpić path traversal, jeśli komponent domeny jest częścią katalogu. Może to prowadzić do nieumyślnego odczytu /etc/passwd (lub innej ścieżki kończącej się na passwd), co może pozwolić na błędne uwierzytelnienie lub ujawnienie systemowych użytkowników jako prawidłowych. Nie są znane publiczne exploity.

Dovecot dostarcza skrypt do konwersji załączników na tekst, który niebezpiecznie obsługuje załączniki w formacie zip. Atakujący może użyć specjalnie spreparowanych dokumentów OOXML, aby spowodować indeksowanie niezamierzonych plików w systemie, a następnie trafienie ich do indeksów FTS. Nie należy używać dostarczonego skryptu, zamiast tego użyć czegoś innego, np. FTS tika. Nie są znane publicznie dostępne exploity.