远程 Debian 12 主机上存在安装的程序包，该程序包受到 DLA-4873 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4873-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：dovecot 版本： 1:2.3.19.1+dfsg1-2.1+deb12u7 CVE ID： CVE-2026-27852 CVE-2026-33263 CVE-2026-33604 CVE-2026-33605 CVE-2026-33606 CVE-2026-33607 CVE-2026-40013 CVE-2026-40014 CVE-2026-40015 CVE-2026-40017 CVE-2026-40018 CVE-2026-40203 CVE-2026-40204 CVE-2026-40205 CVE-2026-42007 CVE-2026-42008 CVE-2026-42391 CVE-2026-42393 CVE-2026-42394 CVE-2026-42395 CVE-2026-52681 CVE-2026-52687 CVE-2026-73208 CVE-2026-73209 Debian 缺陷：1146018

    在 POP3/IMAP 服务器 dovecot 中发现多个漏洞，可导致拒绝服务、SMTP 走私、信息泄露、SQL 注入、远程代码执行、绕过 ACL 限制或帐户假冒。

    CVE-2026-27852

        如果攻击者能够向用户发送邮件，则可构建其标头包含大量电子邮件地址或 MIME 参数的消息，从而导致以后解析该消息时使用过量内存。

    CVE-2026-33263

        当设置“mail_max_userip_connections”（默认值为 10）并达到此水平时，提交登录可因文件描述符处理问题造成的“epoll（）”错误而崩溃。

    CVE-2026-33604

        如果攻击者可让 Dovecot 中继消息（例如通过 Sieve 重定向或提交中继），则可以使用消息正文中构建的行结尾来绕过出站保护，以防止消息内容被解释为 SMTP 命令。

    CVE-2026-33605

        未经认证的攻击者可通过在认证之前发送小型畸形命令来导致 ManageSieve 登录进程崩溃。

    CVE-2026-33606

        用户存储的邮件内容可经过特制，当管理员稍后使用流协议运行 dsync（1） 时（例如在迁移期间），将其解释为 dsync 协议命令。

    CVE-2026-33607

        经身份验证的攻击者可利用特制的 IMAP LIST 命令，通过过量 CPU 使用导致拒绝服务。这已通过回溯到 20000 来缓解;“match_sub（）”在超过该限制时返回IMAP_MATCH_NO。

    CVE-2026-40013

        经认证的攻击者可提交包含极大数字文本的 Sieve 脚本，从而在 ManageSieve 服务编译该脚本时导致越界写入。

    CVE-2026-40014

        能够向用户发送邮件的攻击者可构建消息标头，使受害者的 IMAP THREAD 命令消耗与消息大小不成比例的 CPU，从而导致拒绝服务。

    CVE-2026-40015

        经身份验证的攻击者可打开 imap-hibernate 服务的多个连接，并发送无效的命令，这些间歇性可造成越界读取和进程崩溃，导致拒绝服务。

    CVE-2026-40017

        可向用户发送邮件的攻击者可构建消息标头，其值被选为在内部哈希表中发生冲突，从而使 IMAP THREAD 命令消耗与消息大小不成比例的 CPU，从而导致拒绝服务。

        该补丁引入新的键控 xxh64 strmap 磁盘格式 v2。
        使用旧格式的 strmap 文件会自动升级，因此这些文件无法被较低版本或未修复的 dovecot 读取。

    CVE-2026-40018

        未经认证的攻击者可通过多字节转义执行 SQL 注入。

    CVE-2026-40203

        启用 IMAP 压缩时，会话中的响应会重复使用相同的压缩状态，因此响应大小取决于攻击者提供的邮件和同一邮箱中的其他邮件。

        如果攻击者能够向用户发送邮件，并且还可以观察该用户的 IMAP 流量大小，则可确认小型消息的正文是否与猜测的文本匹配。尚未证实可以恢复任意未知内容，但该攻击可泄露类似机密的消息正文是否匹配候选消息。

        现在通过在每个标记的响应行后通过“Z_FULL_FLUSH”来重置 DEFLATE 压缩字典来缓解这种 CRIME 风格的跨命令压缩 oracle 攻击。副作用是会话中的总流量可能无法像修复之前那样有效地压缩。

    CVE-2026-40204

        经认证的攻击者可通过 lda_mailbox_autocreate（） 绕过 ACL。

    CVE-2026-40205

        持有仅授予部分所需范围的 OAuth2 令牌的攻击者可以进行身份验证，因为当配置中需要多个范围时，远程标记验证路径会接受仅承载其中一个范围的标记，而本地标记验证路径正确地需要所有范围。

    CVE-2026-42007

        经认证的攻击者可使用具有 editheader 扩展的 Sieve 脚本来触发邮件编辑代码中的释放后使用，并将超出预期缓冲区的内存内容写入已投递的邮件，这可能导致任意代码执行。

    CVE-2026-42008

        从被列为受信任代理的主机接收的信息未与 Dovecot 自己的认证字段分开保存，因此可将该主机发送的值作为内部认证字段注入。因此，任何获准充当受信任代理的主机都可以在不知道任何用户的密码的情况下，以该用户的身份通过认证。

    CVE-2026-42391

        未经身份验证的攻击者在登录前可发送包含大量参数的 IMAP ID 命令，造成内存和 CPU 使用率不成比例地增长，进而导致拒绝服务。

    CVE-2026-42393

        用于 doveadm 密码和 API 密钥的比较不是完全时序安全的，可向能够准确测量响应时序的攻击者泄露已配置密码的长度。

    CVE-2026-42394

        Pigeonhole 的文件存储遵循解析脚本路径时遇到的任何符号链接，包括目标位于存储目录外的个人（用户可写入）存储中的符号链接，从而允许通过符号链接遍历泄露任意文件。

        不再遵循转义个人存储目录的符号链接。

    CVE-2026-42395

        被列为受信任代理的主机可发送包含空字节的转发信息，从而在下次登录尝试中使登录进程崩溃，从而导致拒绝服务。

    CVE-2026-52681

        Sieve CPU 资源使用情况在编译的脚本中进行跟踪，这允许未经认证的攻击者通过反复更改活动脚本来轻易重置核算。删除或重命名脚本时，还不会删除更多编译的脚本文件，从而导致磁盘上出现混乱并可能导致磁盘使用量过高。

        现在在按用户的 sieve-rusage 文件中跟踪累积 CPU 跟踪，而不是在每个已编译的 Sieve 脚本的二进制标头中进行跟踪。

    CVE-2026-52687

        经认证的攻击者可为其解压缩状态需要大量内存的 IMAP 连接选择压缩算法，并打开多个此类连接，从而导致拒绝服务。

        IMAP COMPRESS 现在仅限于根据 RFC 4978 的 DEFLATE。

    CVE-2026-73208

        持有用于其他目的的令牌的攻击者可以进行身份验证，因为当 OAuth2 令牌响应不包含范围声明时，将使用受众声明来代替它，并根据配置的必需范围进行检查。这些是不同的概念，受众声明并未描述令牌可以执行的操作。

    CVE-2026-73209

        经身份验证的攻击者可发送特制的压缩数据，造成受影响的进程耗尽其堆栈并崩溃，从而导致拒绝服务。

    对于 Debian 12 bookworm，这些问题已在 .3.19.1+dfsg1-2.1+deb12u7 版本 1:2中修复。

    我们建议您升级 dovecot 程序包。

    如需了解 dovecot 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/dovecot

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6526 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6526-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 9 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：dovecot CVE ID： CVE-2026-27852 CVE-2026-33263 CVE-2026-33604 CVE-2026-33605 CVE-2026-33606 CVE-2026-33607 CVE-2026-40013 CVE-2026-40014 CVE-2026-40015 CVE-2026-40017 CVE-2026-40018 CVE-2026-40203 CVE-2026-40204 CVE-2026-40205 CVE-2026-42007 CVE-2026-42008 CVE-2026-42391 CVE-2026-42392 CVE-2026-42393 CVE-2026-42394 CVE-2026-42395 CVE-2026-52681 CVE-2026-52687 CVE-2026-73208 CVE-2026-73209 Debian 缺陷：1144639

    在 Dovecot IMAP 服务器中发现多个漏洞，可导致拒绝服务、SMTP 走私、信息泄露、通过格式错误的 Sieve 脚本进行的代码注入或绕过 ACL 限制。

    对于稳定发行版本 （trixie），已在版本 1:2.4.1+dfsg1-6+deb13u7 中修复这些问题。

    我们建议您升级 dovecot 程序包。

    如需了解 dovecot 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/dovecot

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 13 主機安裝的套件會受到 dsa-6526 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6526-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 9 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 ： 鴿子 CVE ID ： CVE-2026-27852 CVE-2026-33263 CVE-2026-33604 CVE-2026-33605 CVE-2026-33606 CVE-2026-33607 CVE-2026-40013 CVE-2026-40014 CVE-2026-40015 CVE-2026-40017 CVE-2026-40018 CVE-2026-40203 CVE-2026-40204 CVE-2026-40205 CVE-2026-42007 CVE-2026-42008 CVE-2026-42391 CVE-2026-42392 CVE-2026-42393 CVE-2026-42394 CVE-2026-42395 CVE-2026-52681 CVE-2026-52687 CVE-2026-73208 CVE-2026-73209 Debian 錯誤 ： 1144639

    在Dovecot IMAP伺服器發現多個漏洞，可導致拒絕服務、SMTP走私、資料洩露、透過格式錯誤的Sieve指令碼插入程式碼或繞過ACL限制。

    對於穩定版 （trixie），這些問題已在 .4.1+dfsg1-6+deb13u7 版 1:2中修正。

    建議您升級 dovecot 套件。

    如需有關 dovecot 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/dovecot

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Ubuntu Linux - [sieve：符號連結遊走缺陷可能導致任意檔案洩露] （CVE-2026-42394）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Ubuntu Linux - [sieve：符号链接遍历缺陷可导致任意文件泄露] （CVE-2026-42394）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端 Debian 12 主機已安裝的套件會受到 dla-4873 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4873-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：dovecot 版本： 1:2.3.19.1+dfsg1-2.1+deb12u7 CVE ID： CVE-2026-27852 CVE-2026-33263 CVE-2026-33604 CVE-2026-33605 CVE-2026-33606 CVE-2026-33607 CVE-2026-40013 CVE-2026-40014 CVE-2026-40015 CVE-2026-40017 CVE-2026-40018 CVE-2026-40203 CVE-2026-40204 CVE-2026-40205 CVE-2026-42007 CVE-2026-42008 CVE-2026-42391 CVE-2026-42393 CVE-2026-42394 CVE-2026-42395 CVE-2026-52681 CVE-2026-52687 CVE-2026-73208 CVE-2026-73209 Debian 錯誤：1146018

    在 POP3/IMAP 伺服器 dovecot 中發現多個漏洞，這些漏洞可能導致拒絕服務、SMTP 走私、資訊洩露、SQL 插入、遠端程式碼執行、繞過 ACL 限制或帳戶模擬。

    CVE-2026-27852

        可傳送郵件給使用者的攻擊者可以製作標頭包含大量電子郵件地址或 MIME 參數的郵件，這會導致稍後剖析郵件時過多的記憶體使用。

    CVE-2026-33263

        設定 'mail_max_userip_connections' （預設值為 10） 並達到時，submit-login 可能會當機，並因檔案描述元處理問題而導致 'epoll（）' 錯誤。

    CVE-2026-33604

        攻擊者可以讓 Dovecot 轉送訊息 （例如透過 Sieve 重新導向或提交轉送），可以使用以訊息正文結尾的特製行來繞過出站保護，以防止訊息內容被解譯為 SMTP 命令。

    CVE-2026-33605

        未經身份驗證的攻擊者可以在身份驗證前發送格式錯誤的小命令，從而使 ManageSieve 登錄過程崩潰。

    CVE-2026-33606

        使用者儲存的郵件內容可以經過精心設計，以便在管理員稍後使用串流通訊協定執行 dsync（1） 時（例如在移轉期間）將其解譯為 dsync 通訊協定命令。

    CVE-2026-33607

        經驗證的攻擊者可以使用特製的 IMAP LIST 命令，透過過多的 CPU 使用率造成拒絕服務。這是透過回溯到 20000 的邊界來緩解的;'match_sub（）' 會在超過此限制時傳回IMAP_MATCH_NO。

    CVE-2026-40013

        經過驗證的攻擊者可提交包含非常大的數字常值的 Sieve 指令碼，導致在 ManageSieve 服務編譯指令碼時發生越界寫入。

    CVE-2026-40014

        可向使用者傳送郵件的攻擊者可製作訊息標頭，使受害者的 IMAP THREAD 命令佔用與訊息大小不成比例的 CPU，進而造成拒絕服務。

    CVE-2026-40015

        經過身份驗證的攻擊者可以打開與 imap-hibernate 服務的許多連接並發送無效命令，這可能會間歇性地導致越界讀取並使處理程序崩潰，從而導致拒絕服務。

    CVE-2026-40017

        可傳送郵件給使用者的攻擊者可以製作訊息標頭，其值被選擇在內部雜湊表中衝突，這會使 IMAP THREAD 命令佔用與訊息大小不成比例的 CPU，進而造成拒絕服務。

        此修正程式引進了新的鍵控 xxh64 strmap 磁碟格式 v2。
        使用舊格式的 strmap 檔案會自動升級，因此較舊或未固定的 dovecot 版本無法讀取它們。

    CVE-2026-40018

        未經驗證的攻擊者可透過多位元組逸出執行 SQL 插入。

    CVE-2026-40203

        啟用 IMAP 壓縮時，會在階段作業中的回應之間重複使用相同的壓縮狀態，因此回應大小取決於攻擊者提供的郵件和相同信箱中的其他郵件。

        攻擊者如果可以傳送郵件給使用者，也可以觀察該使用者的 IMAP 流量大小，就可以確認小訊息的內文是否符合猜測的文字。未證明可以恢復任意未知內容，但攻擊可以洩露類似秘密的訊息內文是否與候選訊息相符。

        現在，透過在每個標記的回應行之後透過「Z_FULL_FLUSH」重設 DEFLATE 壓縮字典，可以緩解這種 CRIME 式的跨命令壓縮 oracle 攻擊。副作用是，工作階段中的總流量可能無法像修正前那樣有效地壓縮。

    CVE-2026-40204

        經過驗證的攻擊者可透過 lda_mailbox_autocreate（） 繞過 ACL。

    CVE-2026-40205

        持有僅授與部分必要範圍的 OAuth2 權杖的攻擊者可以進行驗證，因為當組態中需要多個範圍時，遠端權杖驗證路徑會接受僅攜帶其中一個範圍的權杖，而本機權杖驗證路徑正確需要所有權杖。

    CVE-2026-42007

        經過驗證的攻擊者可以使用具有 editheader 副檔名的 Sieve 指令碼，在郵件編輯程式碼中觸發釋放後使用，並將超出預期緩衝區的記憶體內容寫入傳送的郵件中，這可能會導致任意程式碼執行。

    CVE-2026-42008

        從列為受信任 Proxy 的主機接收的轉送資訊不會與 Dovecot 自己的驗證欄位分開保存，因此可以將該主機傳送的值插入為內部驗證欄位。因此，任何獲准作為受信任 Proxy 的主機都可以以任何使用者的身分進行驗證，而不需要知道該使用者的密碼。

    CVE-2026-42391

        未經身份驗證的攻擊者可以在登入前發送包含大量參數的 IMAP ID 命令，這會導致記憶體和 CPU 使用率不成比例地增長，從而導致拒絕服務。

    CVE-2026-42393

        用於 doveadm 密碼和 API 金鑰的比較並不完全計時安全，並且可能會向任何能夠準確測量回應計時的攻擊者洩露已設定密碼的長度。

    CVE-2026-42394

        Pigeonhole 的檔案儲存遵循解析指令碼路徑時遇到的任何符號鏈接，包括個人（使用者可寫入）儲存中的符號鏈接，其目標位於儲存目錄之外，從而允許透過符號連結遍歷進行任意檔案洩露。

        不再遵循逸出個人儲存目錄的符號連結。

    CVE-2026-42395

        列為受信任 Proxy 的主機可傳送包含 NUL 位元組的轉送資訊，這會在下次登入嘗試時當機登入程序，進而造成拒絕服務。

    CVE-2026-52681

        Sieve CPU 資源使用情形會在編譯的指令碼中追蹤，這允許未經驗證的攻擊者透過反覆變更作用中的指令碼來簡單重設帳戶。此外，刪除或重新命名指令碼時，不會移除編譯的指令碼檔案，導致磁碟上雜亂，並可能造成磁碟過度使用。

        累積 CPU 追蹤現在會在每個使用者的 sieve-rusage 檔案中追蹤，而不是在每個已編譯的 Sieve 指令碼的二進位標頭標頭中追蹤。

    CVE-2026-52687

        經過驗證的攻擊者可針對解壓縮狀態需要大量記憶體的 IMAP 連線選取壓縮演算法，並開啟數個此類連線，進而造成拒絕服務。

        IMAP COMPRESS 現在僅限於符合 RFC 4978 的 DEFLATE。

    CVE-2026-73208

        持有用於不同用途的權杖的攻擊者可以進行驗證，因為當 OAuth2 權杖回應不包含範圍宣告時，會使用對象宣告來取代其位置，並針對設定的必要範圍進行檢查。這些是不同的概念，受眾聲明並未描述令牌可以做什麼。

    CVE-2026-73209

        經過身份驗證的攻擊者可以發送特製的壓縮數據，導致受影響的處理程序耗盡其堆疊並崩潰，進而導致拒絕服務。

    對於 Debian 12 書蟲，這些問題已在 .3.19.1+dfsg1-2.1+deb12u7 版本 1:2中修復。

    建議您升級 dovecot 套件。

    如需有關 dovecot 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/dovecot

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートのDebian 13ホストには、dsa-6526アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6526-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 9 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:dovecot CVE ID: CVE-2026-27852 CVE-2026-33263 CVE-2026-33604 CVE-2026-33605 CVE-2026-33606 CVE-2026-33607 CVE-2026-40013 CVE-2026-40014 CVE-2026-40015 CVE-2026-40017 CVE-2026-40018 CVE-2026-40203 CVE-2026-40204 CVE-2026-40205 CVE-2026-42007 CVE-2026-42008 CVE-2026-42391 CVE-2026-42392 CVE-2026-42393 CVE-2026-42394 CVE-2026-42395 CVE-2026-52681 CVE-2026-52687 CVE-2026-73208 CVE-2026-73209 Debian バグ:1144639

    Dovecot IMAP サーバーに複数の脆弱性が発見されました。これにより、サービス拒否、SMTP スマグリング、情報漏洩、無効な形式の Sieve スクリプトを通じたコードインジェクション、または ACL 制限のバイパスが引き起こされる可能性があります。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 1:2.4.1+dfsg1-6+deb13u7 で修正されています。

    お使いの dovecot パッケージをアップグレードすることを推奨します。

    dovecot の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: 
    https://security-tracker.debian.org/tracker/dovecot

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 12ホストには、dla-4873アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4873-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem ムーラン 2026年10月31日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:dovecot バージョン: 1:2.3.19.1+dfsg1-2.1+deb12u7 CVE ID: CVE-2026-27852 CVE-2026-33263 CVE-2026-33604 CVE-2026-33605 CVE-2026-33606 CVE-2026-33607 CVE-2026-40013 CVE-2026-40014 CVE-2026-40015 CVE-2026-40017 CVE-2026-40018 CVE-2026-40203 CVE-2026-40204 CVE-2026-40205 CVE-2026-42007 CVE-2026-42008 CVE-2026-42391 CVE-2026-42393 CVE-2026-42394 CVE-2026-42395 CVE-2026-52681 CVE-2026-52687 CVE-2026-73208 CVE-2026-73209 Debian バグ:1146018

    POP3/IMAP サーバーである dovecot で、複数の脆弱性が発見されました。これにより、サービス拒否、SMTP スマグリング、情報漏洩、SQL インジェクション、リモートコード実行、ACL 制限のバイパス、またはアカウントなりすましが引き起こされる可能性があります。

    CVE-2026-27852

        ユーザーにメールを送信できる攻撃者が、ヘッダーに非常に多数のメールアドレスまたは MIME パラメーターを含むメッセージを細工する可能性があります。これにより、メッセージが後で解析される際に過剰なメモリ使用が発生します。

    CVE-2026-33263

        「mail_max_userip_connections」が設定され(デフォルト 10)に達したとき、submission-login がファイル記述子の処理の問題によって引き起こされる「epoll()」パニックでクラッシュする可能性があります。

    CVE-2026-33604

        Sieve リダイレクトまたは送信リレーなどを通して、Dovecot にメッセージを中継させることのできる攻撃者が、メッセージ本文で終わる細工された行を使用して、メッセージコンテンツが SMTP コマンドとして解釈されるのを防ぐアウトバウンド保護をバイパスする可能性があります。

    CVE-2026-33605

        認証されていない攻撃者が、認証前に小さな無効なコマンドを送信することで、ManageSieve ログインプロセスをクラッシュさせる可能性があります。

    CVE-2026-33606

        ユーザーが保存したメールコンテンツは、移行中など、管理者が後にストリームプロトコルで dsync(1) を実行するときに、dsync プロトコルコマンドとして解釈されるように細工されることができます。

    CVE-2026-33607

        認証された攻撃者が、細工された IMAP LIST コマンドを使用して、過剰な CPU 使用率を介してサービス拒否を引き起こす可能性があります。これは、20000 へのバウンディングバックトラッキングによって緩和されます。「match_sub()」はその制限を超えるとIMAP_MATCH_NOを返します。

    CVE-2026-40013

        認証された攻撃者は、非常に大きな数値リテラルを含む Sieve スクリプトを送信することができ、その結果、ManageSieve サービスがスクリプトをコンパイルする際に、領域外書き込みが発生します。

    CVE-2026-40014

        ユーザーにメールを送信できる攻撃者が、メッセージヘッダーを細工して、被害者の IMAP THREAD コマンドにメッセージのサイズに比例しない CPU を消費させ、サービス拒否を引き起こす可能性があります。

    CVE-2026-40015

        認証された攻撃者が、imap-hibernateサービスへの多数の接続を開き、無効なコマンドを送信する可能性があります。これにより、断続的に領域外読み取りを引き起こし、プロセスをクラッシュさせ、サービス拒否を引き起こす可能性があります。

    CVE-2026-40017

        ユーザーにメールを送信できる攻撃者が、内部ハッシュテーブルで衝突するように値が選択されたメッセージヘッダーを細工する可能性があります。これにより、IMAP THREAD コマンドがメッセージのサイズに不釣り合いな CPU を消費し、サービス拒否を引き起こす可能性があります。

        この修正は、新しいキー付き xxh64 strmap on-disk フォーマット v2 を導入します。
        古い形式の strmap ファイルは自動的にアップグレードされるため、古い dovecot または未修正バージョンの dovecot では読み取れません。

    CVE-2026-40018

        認証されていない攻撃者が、マルチバイトエスケープを介して SQL インジェクションを実行する可能性があります。

    CVE-2026-40203

        IMAP 圧縮が有効な場合、同じ圧縮状態がセッション内の応答間で再使用されるため、応答のサイズは、攻撃者が指定したメールと同じメールボックス内の他のメールの両方に依存します。

        攻撃者は、ユーザーにメールを送信でき、またそのユーザーの IMAP トラフィックのサイズも観察できるため、小さなメッセージの本文が推測されたテキストと一致しているかどうかを確認できます。任意の不明なコンテンツの復元は実証されていませんが、秘密のようなメッセージ本文が候補に一致するかどうかを攻撃によって漏洩する可能性があります。

        この CRIME スタイルのクロスコマンド圧縮オラクル攻撃は、「タグ付けされた各応答行の後に Z_FULL_FLUSH」を介して DEFLATE 圧縮辞書をリセットすることで軽減されるようになりました。副作用として、セッション全体の総トラフィックが、修正前ほど効率的に圧縮されない可能性があります。

    CVE-2026-40204

        認証された攻撃者が、lda_mailbox_autocreate() を介して ACL バイパスをバイパスする可能性があります。

    CVE-2026-40205

        構成で複数の範囲が必要な場合、リモートのトークン検証パスはそのうちの 1 つのみを伝送するトークンを受け入れるのに対し、ローカルのトークン検証パスでは正しくそれらすべてが要求されるため、必要な範囲の一部のみを付与する OAuth2 トークンを保持している攻撃者が認証を行う可能性があります。

    CVE-2026-42007

        認証された攻撃者が、editheader 拡張付きの Sieve スクリプトを使用して、メール編集コードで use-after-free を発生させ、配信メールに意図されたバッファを超えてメモリコンテンツを書き込むことで、任意のコードの実行を引き起こす可能性があります。

    CVE-2026-42008

        信頼できるプロキシとしてリストされているホストから受信した転送情報は、Dovecot 自身の認証フィールドとは別に保持されません。このため、そのホストから送信された値を内部認証フィールドとして注入できます。このため、信頼できるプロキシとして動作することが許可されたホストは、ユーザーのパスワードを知らなくても、任意のユーザーとして認証を行う可能性があります。

    CVE-2026-42391

        認証されていない攻撃者が、ログイン前に非常に多数のパラメーターが含まれている IMAP ID コマンドを送信することができるため、メモリおよび CPU の使用率が不釣り合いに増加し、サービス拒否が発生する可能性があります。

    CVE-2026-42393

        doveadm パスワードと API キーに使用される比較は、完全にタイミング的に安全ではなく、応答タイミングを正確に測定できる攻撃者に対して、構成された機密情報の長さを漏洩する可能性があります。

    CVE-2026-42394

        Pigeonhole のファイルストレージは、スクリプトパスの解析中に遭遇するあらゆるシンボリックリンクに従います。これには、ターゲットがストレージディレクトリの外部にあるパーソナル(ユーザー書き込み可能な)ストレージのシンボリックリンクが含まれます。これにより、シンボリックリンクトラバーサルを介して任意のファイルを漏洩できます。

        パーソナルストレージディレクトリをエスケープするシンボリックリンクがたどられることはなくなりました。

    CVE-2026-42395

        信頼できるプロキシとしてリストされているホストが、NUL バイトを含む転送情報を送信する可能性があります。これにより、次のログイン試行でログインプロセスがクラッシュし、サービス拒否が発生します。

    CVE-2026-52681

        Sieve CPU リソースの使用率は、コンパイル済みのスクリプトで追跡されます。これにより、認証されていない攻撃者は、アクティブなスクリプトを繰り返し変更することで、アカウンティングを自明にリセットすることができます。さらに、スクリプトが削除または名前変更されても、コンパイル済みのスクリプトファイルが削除されないため、ディスク上が乱雑になり、過剰なディスク使用が発生する可能性があります。

        累積 CPU トラッキングが、コンパイルされたそれぞれの Sieve スクリプトのバイナリヘッダーヘッダーではなく、ユーザーごとの sieve-rusage ファイルで追跡されるようになりました。

    CVE-2026-52687

        認証された攻撃者が、展開状態に大量のメモリを必要とする IMAP 接続に対して圧縮アルゴリズムを選択し、複数のこのような接続を開くことで、サービス拒否を引き起こす可能性があります。

        IMAP COMPRESS は、RFC 4978 に準拠してのみ DEFLATE に制限されるようになりました。

    CVE-2026-73208

        別の目的を意図したトークンを保持している攻撃者が認証される可能性があります。これは、OAuth2 トークン応答にスコープクレームが含まれていない場合、その代わりにオーディエンスクレームが使用され、設定された必要なスコープと照合されるためです。これらは異なる概念であり、視聴者の主張はトークンが何をできるかを説明していません。

    CVE-2026-73209

        認証された攻撃者が細工された圧縮データを送信して、影響を受けるプロセスにスタックを枯渇させてクラッシュさせ、サービス拒否を引き起こす可能性があります。

    Debian 12 bookworm では、これらの問題はバージョン 1:2.3.19.1+dfsg1-2.1+deb12u7 で修正されています。

    お使いの dovecot パッケージをアップグレードすることを推奨します。

    dovecot の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/dovecot

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Ubuntu Linux - [sieve:シンボリックリンクトラバーサルの欠陥により、任意のファイルが漏洩する可能性があります](CVE-2026-42394)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The remote Debian 13 host has packages installed that are affected by multiple vulnerabilities as referenced in the dsa-6526 advisory.

    - -------------------------------------------------------------------------     Debian Security Advisory DSA-6526-1                   security@debian.org     https://www.debian.org/security/                       Moritz Muehlenhoff     September 28, 2026                    https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package        : dovecot     CVE ID         : CVE-2026-27852 CVE-2026-33263 CVE-2026-33604 CVE-2026-33605                      CVE-2026-33606 CVE-2026-33607 CVE-2026-40013 CVE-2026-40014                      CVE-2026-40015 CVE-2026-40017 CVE-2026-40018 CVE-2026-40203                      CVE-2026-40204 CVE-2026-40205 CVE-2026-42007 CVE-2026-42008                      CVE-2026-42391 CVE-2026-42392 CVE-2026-42393 CVE-2026-42394                      CVE-2026-42395 CVE-2026-52681 CVE-2026-52687 CVE-2026-73208                      CVE-2026-73209     Debian Bug     : 1144639

    Multiple vulnerabilities have been discovered in the Dovecot IMAP server     which could result in denial of service, SMTP smuggling, information     disclosure, code injection via malformed Sieve scripts or bypass of ACL     restrictions.

    For the stable distribution (trixie), these problems have been fixed in     version 1:2.4.1+dfsg1-6+deb13u7.

    We recommend that you upgrade your dovecot packages.

    For the detailed security status of dovecot please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/dovecot

    Further information about Debian Security Advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://www.debian.org/security/

    Mailing list: debian-security-announce@lists.debian.org

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 12 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-4873 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4873-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Guilhem Moulin     October 31, 2026                              https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : dovecot     Version        : 1:2.3.19.1+dfsg1-2.1+deb12u7     CVE ID         : CVE-2026-27852 CVE-2026-33263 CVE-2026-33604 CVE-2026-33605                      CVE-2026-33606 CVE-2026-33607 CVE-2026-40013 CVE-2026-40014                      CVE-2026-40015 CVE-2026-40017 CVE-2026-40018 CVE-2026-40203                      CVE-2026-40204 CVE-2026-40205 CVE-2026-42007 CVE-2026-42008                      CVE-2026-42391 CVE-2026-42393 CVE-2026-42394 CVE-2026-42395                      CVE-2026-52681 CVE-2026-52687 CVE-2026-73208 CVE-2026-73209     Debian Bug     : 1146018

    Multiple vulnerabilities were discovered in dovecot, a POP3/IMAP server,     which could result in denial of service, SMTP smuggling, information     disclosure, SQL injection, remote code execution, bypass of ACL     restrictions, or account impersonation.

    CVE-2026-27852

        An attacker that can send mail to a user can craft a message whose         headers contain a very large number of email addresses or MIME         parameters, which causes excessive memory usage when the message is         later parsed.

    CVE-2026-33263

        When `mail_max_userip_connections` is set (default 10) and reached,         submission-login can crash with `epoll()` panic caused by file         descriptor handling issues.

    CVE-2026-33604

        An attacker that can get Dovecot to relay a message, for example         through Sieve redirect or submission relay, can use a crafted line         ending in the message body to bypass the outbound protection that         prevents message content from being interpreted as SMTP commands.

    CVE-2026-33605

        An unauthenticated attacker can crash the ManageSieve login process         by sending a small malformed command before authenticating.

    CVE-2026-33606

        Mail content stored by a user can be crafted so that it is         interpreted as dsync protocol commands when an administrator later         runs dsync(1) with the stream protocol, for example during a migration.

    CVE-2026-33607

        An authenticated attacker can use a crafted IMAP LIST command to         cause denial of service via excessive CPU usage.  This is is         mitigated via bounding backtracking to 20000; `match_sub()` returns         IMAP_MATCH_NO when exceding that limit.

    CVE-2026-40013

        An authenticated attacker can submit a Sieve script containing a         very large numeric literal, resulting in an out-of-bounds write when         the ManageSieve service compiles the script.

    CVE-2026-40014

        An attacker that can send mail to a user can craft a message header         that makes the victim's IMAP THREAD command consume CPU         disproportionate to the size of the message, resulting in denial of         service.

    CVE-2026-40015

        An authenticated attacker can open many connections to the         imap-hibernate service and send invalid commands, which can         intermittently cause an out-of-bounds read and crash the process,         resulting in denial of service.

    CVE-2026-40017

        An attacker that can send mail to a user can craft a message header         whose values are chosen to collide in an internal hash table, which         makes the IMAP THREAD command consume CPU disproportionate to the         size of the message, resulting in denial of service.

        The fix introduces a new keyed xxh64 strmap on-disk format v2.
        strmap files using the old format are automatically upgraded, so         they cannot be read by an older or unfixed dovecot version.

    CVE-2026-40018

        An unauthenticated attacker can perform SQL injection via multi-byte         escaping.

    CVE-2026-40203

        When IMAP compression is enabled, the same compression state is         reused across responses in a session, so response sizes depend on         both attacker-supplied mail and other mail in the same mailbox.

        An attacker that can send mail to a user and can also observe the         sizes of that user's IMAP traffic can confirm whether the body of a         small message matches a guessed text.  Recovery of arbitrary unknown         content was not demonstrated, but the attack can disclose whether a         secret-like message body matches a candidate.

        This CRIME-style cross-command compression oracle attack is now         mitigated by resetting the DEFLATE compression dictionary via         `Z_FULL_FLUSH` after each tagged response line`.  A side-effect is         that total traffic across a session might not be compressed as         efficiently as before the fix.

    CVE-2026-40204

        An authenticated attacker can bypass ACLs bypass via         lda_mailbox_autocreate().

    CVE-2026-40205

        An attacker that holds an OAuth2 token granting only part of the         required scopes can authenticate, because when more than one scope         is required in the configuration, the remote token validation paths         accept a token that carries only one of them, while the local token         validation path correctly requires all of them.

    CVE-2026-42007

        An authenticated attacker can use a Sieve script with the         editheader extension to trigger a use-after-free in the mail         editing code, and to write memory contents beyond the intended         buffer into the delivered mail, which may result in arbitrary code         execution.

    CVE-2026-42008

        Forwarding information received from a host listed as a trusted         proxy is not kept separate from Dovecot's own authentication fields,         so a value sent by that host can be injected as an internal         authentication field.  Any host permitted to act as a trusted proxy         can therefore authenticate as any user without knowing that user's         password.

    CVE-2026-42391

        An unauthenticated attacker can send an IMAP ID command with a very         large number of parameters before logging in, which causes memory         and CPU usage to grow disproportionately, resulting in denial of         service.

    CVE-2026-42393

        The comparison used for the doveadm password and API key is not         fully timing safe and can reveal the length of the configured         secret to any attacker able to measure response timing accurately.

    CVE-2026-42394

        Pigeonhole's file storage follows any symlink encountered while         resolving a script path, including symlinks in personal         (user-writable) storage whose target lay outside the storage         directory, thereby allowing arbitrary file disclosure via symlink         traversal.

        Symlinks escaping personal storage directory are no longer followed.

    CVE-2026-42395

        A host listed as a trusted proxy can send forwarding information         containing a NUL byte, which crashes the login process on the         following login attempt, resulting in denial of service.

    CVE-2026-52681

        Sieve CPU resource usage is tracked in the compiled script, which         allows an unauthenticated attacker to trivially reset the accounting         by repeatedly changing the active script.  Futhermore compiled         script files are not removed when a script is deleted or renamed,         resulting in on-disk clutter and possibly excessive disk usage.

        The cumulative CPU tracking is now tracked in a per-user         sieve-rusage file rather than in the binary header header of each         compiled Sieve script.

    CVE-2026-52687

        An authenticated attacker can select a compression algorithm for the         IMAP connection whose decompression state requires a large amount of         memory, and open several such connections, resulting in denial of         service.

        The IMAP COMPRESS is now restricted to DEFLATE only in compliance         with RFC 4978.

    CVE-2026-73208

        An attacker that holds a token intended for a different purpose can         authenticate, because when an OAuth2 token response does not contain         a scope claim, the audience claim is used in its place and checked         against the configured required scopes.  These are different         concepts, and the audience claim does not describe what a token is         allowed to do.

    CVE-2026-73209

        An authenticated attacker can send crafted compressed data that         causes the affected process to exhaust its stack and crash,         resulting in denial of service.

    For Debian 12 bookworm, these problems have been fixed in version     1:2.3.19.1+dfsg1-2.1+deb12u7.

    We recommend that you upgrade your dovecot packages.

    For the detailed security status of dovecot please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/dovecot

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Ubuntu Linux - [sieve: symlink traversal flaw could result in arbitrary file disclosure] (CVE-2026-42394)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
374600	Debian DLA-4873：dovecot-auth-lua - 安全更新	Nessus	Debian Local Security Checks	10/31/2026	10/31/2026	critical
350920	Debian DSA-6526：dovecot-auth-lua - 安全更新	Nessus	Debian Local Security Checks	9/29/2026	10/23/2026	critical
350920	Debian dsa-6526 ： dovecot-auth-lua - 安全性更新	Nessus	Debian Local Security Checks	9/29/2026	10/23/2026	critical
349832	Linux Distros 未修補弱點：CVE-2026-42394	Nessus	Misc.	9/24/2026	10/31/2026	high
349832	Linux Distros 未修补的漏洞：CVE-2026-42394	Nessus	Misc.	9/24/2026	10/31/2026	high
374600	Debian dla-4873 ： dovecot-auth-lua - 安全性更新	Nessus	Debian Local Security Checks	10/31/2026	10/31/2026	critical
350920	Debian dsa-6526:dovecot-auth-lua - セキュリティ更新	Nessus	Debian Local Security Checks	9/29/2026	10/23/2026	critical
374600	Debian dla-4873:dovecot-auth-lua - セキュリティ更新	Nessus	Debian Local Security Checks	10/31/2026	10/31/2026	critical
349832	Linux Distros のパッチ未適用の脆弱性: CVE-2026-42394	Nessus	Misc.	9/24/2026	10/31/2026	high
350920	Debian dsa-6526 : dovecot-auth-lua - security update	Nessus	Debian Local Security Checks	9/29/2026	10/23/2026	critical
374600	Debian dla-4873 : dovecot-auth-lua - security update	Nessus	Debian Local Security Checks	10/31/2026	10/31/2026	critical
349832	Linux Distros Unpatched Vulnerability : CVE-2026-42394	Nessus	Misc.	9/24/2026	10/31/2026	high

Detections

Analytics

Plugins Search

critical

critical

critical

high

high

critical

critical

critical

high

critical

critical

high