リモートの Fedora 43 ホストには、FEDORA-2025-e491c93405 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    CVE-2025-30189を修正します


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、 FEDORA-2025-d5eb72768a アドバイザリで言及されている脆弱性の影響を受けるパッケージがインストールされています。

    dovecot-2.4.1-6.fc44 の自動更新。

    ##### **変更ログ**

    ```
    * 2025 年 10 月 9 日木曜日Michal Hlavinka 氏 <mhlavink@redhat.com> - 1:2.4.1-6
    - を修正します CVE-2025-30189ユーザーがキャッシュで互いに上書きする可能性がありますrhbz#2402122

    ```

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2025-97d8911108 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    CVE-2025-30189 の修正

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストには、openSUSE- SU-2025-20113-1 アドバイザリで言及されている脆弱性の影響を受けるパッケージがインストールされています。

    - dovecot を に更新してください 2.4.2
      - CVE-2025-30189認証キャッシュが有効な際に同じキャッシュキーでキャッシュするユーザーを修正しましたbsc#1252839
      - 変更
        - authproxy_always フィールドを削除します。
        - configpython3 を使用するように設定履歴解析を変更します。
        - doveadmテーブルフォーマッターの印刷 - 空の値を として印刷 - として印刷。
        - imapcリモートエラーコードを適切に伝播します。
        - ldauserdb 検索を使用しない場合、デフォルトの mail_home=$HOME 環境になります
        - lib-dcrypt新しいバージョン 2 キーのソルトが 16 バイトに増加されました。
        - lib-dregexlibpcre2 ベースの正規表現サポートを Dovecot に追加します。ライブラリがない場合は、すべての正規表現を無効にします。これにより、ビルド依存関係として libpcre2-32 が追加されます。
        - lib-oauth2jwt - nbf および iat が 1 秒を未来を指し示すことを許可します。
        - liblibicu を独自の unicode ライブラリで置換します。ビルド依存関係として libicu を削除。
        - login-commonリモートに無効な SSL 証明書があるためにプロキシが失敗した場合、再接続しません。
      - 新機能
        - authssl_client_cert_fp および ssl_client_cert_pubkey_fp フィールドを追加します
        - config $SET:filter/path/setting のサポートを追加します。
        - config設定の上書きが動作するように @group が改善されます。
        - doveadmkick複数のユーザー名をキックするためのサポートを追加します
        - doveadm mailbox status削除されたステータス項目に対するサポートを追加します。
        - imap、imap-client実験的な部分的 IMAP4rev2 サポートを追加します。
        - imapAPPEND に対する UTF8=ACCEPT のサポートを実装します
        - lib-oauth2、oauth2oauth2_token_expire_grace 設定を追加します。
        - lmtplmtp-client - コマンドパイプラインをサポートします。
        - login-commonローカル/リモートブロックをより適切にサポートします。
        - マスター子プロセスを作成して処理する前に、unix/inet 接続を accept() します。これにより、子プロセス自体の生成が遅い場合にタイムアウトが短縮されます。
      - バグ修正
        - 有効でない場合でも、SMTPUTF8 が受け入れられていました。
        - auth、*-login-L パラメーターでのダイレクトロギングが機能しませんでした。
        - authOAUTH トークン検証が oauth2_use_worker_with_mech=yes で失敗した場合にクラッシュが発生しました。
        - auth無効なフィールド処理クラッシュが修正されました。
        - authldap - deinit でクラッシュが発生する可能性があります。
        - authmech-gssapi - 空の初期応答を送信するサーバーがエラーを起こす可能性があります。
        - authmech-winbind - GSS-SPNEGO メカニズムが誤って としてマークされていました
        - NULL を受け入れません。
        - config $SET 処理に関する複数の問題が修正されました。
        - configureLDAP なしの構築は機能しませんでした。
        - doveadmソースユーザーが存在しない場合、クラッシュが発生します。
        - imap、pop3、submission、imap-urlauthスタンドアロンで実行している場合に、USER 環境の使用率が破損しました。
        - imap-hibernate統計がハイバネーション解除で切り捨てられる可能性があります。
        - imapSEARCH MIMEPART FILENAME ENDS コマンドが割り当てられたバッファ外のメモリにアクセスする可能性があります。これにより、クラッシュが発生します。
        - imapc部分的なヘッダーをフェッチすると、他のキャッシュされたヘッダーが空にキャッシュされ、ディスクにキャッシュするとき、たとえば imap エンベロープ応答が壊れます。
        - imapc共有名前空間の INBOX メールボックスが、必ずしも大文字ではありませんでした。
        - imapcimapc_features=guid-forced GUID 生成が正しく動作しませんでした。
        - lda-d が指定されていない場合、USER 環境は受け入れられませんでした。
        - lib-httphttp-url - 解析と作成を通じた顕著なパスパーセントエンコーディングが保存されませんでした。これは主に、lib-http に対する Dovecot の Lua バインディングで重要です。
        - lib-settingsSET_FILE タイプ設定で %variables を使用する際にクラッシュが発生します。
        - lib-storagemail_attachment_flags=add-flags で読み取り専用メールボックスに添付ファイルフラグを追加しようとしていました。
        - lib-storage使用できない共有名前空間用の root ディレクトリが、不必要に作成により試行されていました。
        - lib構成がリロードされ、syslog にロギングされると、クラッシュが発生しました。
        - login-commonログインプロキシが破壊された際にクラッシュが発生する可能性がありました。
        - sqlitesqlite_journal_mode=wal 設定は、実際には何もしませんでした。
        - その他の多数のバグが修正されました。
    - pigeonhole を に更新してください 2.4.2
      - 変更
        - lib-sieveコアで新しい正規表現ライブラリを使用します。
        - managedsieveデフォルトの service_extra_groups=$SET:default_internal_group を追加します。
      - 新機能
        - lib-sieveextlists 拡張に対するサポートを追加します。
        - lib-sieveregex - unicode コンパレーターを許可します。
      - バグ修正
        - lib-sieve-toolsieve-tool - すべての sieve_script 設定がオーバーライドされました。
        - lib-sievestoragedictsieve_script_dict フィルターが設定にありませんでした。
        - sieve-ldap-storageLDAP なしでコンパイルを修正します。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 44 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2025-d5eb72768a advisory.

    Automatic update for dovecot-2.4.1-6.fc44.

    ##### **Changelog**

    ```
    * Thu Oct  9 2025 Michal Hlavinka <mhlavink@redhat.com> - 1:2.4.1-6
    - fix CVE-2025-30189: users would end up overwriting each other in cache (rhbz#2402122)

    ```

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 43 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2025-97d8911108 advisory.

    fix CVE-2025-30189

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has packages installed that are affected by a vulnerability as referenced in the openSUSE- SU-2025-20113-1 advisory.

    - Update dovecot to 2.4.2:
      - CVE-2025-30189: Fixed users cached with same cache key when         auth cache was enabled (bsc#1252839)
      - Changes
        - auth: Remove proxy_always field.
        - config: Change settings history parsing to use python3.
        - doveadm: Print table formatter - Print empty values as -.
        - imapc: Propagate remote error codes properly.
        - lda: Default mail_home=$HOME environment if not using userdb           lookup
        - lib-dcrypt: Salt for new version 2 keys has been increased to           16 bytes.
        - lib-dregex: Add libpcre2 based regular expression support to           Dovecot, if the library is missing, disable all regular           expressions. This adds libpcre2-32 as build dependency.
        - lib-oauth2: jwt - Allow nbf and iat to point 1 second into           future.
        - lib: Replace libicu with our own unicode library. Removes           libicu as build dependency.
        - login-common: If proxying fails due to remote having invalid           SSL cert, don't reconnect.
      - New features
        - auth: Add ssl_client_cert_fp and ssl_client_cert_pubkey_fp           fields
        - config: Add support for $SET:filter/path/setting.
        - config: Improve @group includes to work with overwriting           their settings.
        - doveadm kick: Add support for kicking multiple usernames
        - doveadm mailbox status: Add support for deleted status item.
        - imap, imap-client: Add experimental partial IMAP4rev2           support.
        - imap: Implement support for UTF8=ACCEPT for APPEND
        - lib-oauth2, oauth2: Add oauth2_token_expire_grace setting.
        - lmtp: lmtp-client - Support command pipelining.
        - login-common: Support local/remote blocks better.
        - master: accept() unix/inet connections before creating child           process to handle it. This reduces timeouts when child           processes are slow to spawn themselves.
      - Bug fixes
        - SMTPUTF8 was accepted even when it wasn't enabled.
        - auth, *-login: Direct logging with -L parameter was not           working.
        - auth: Crash occured when OAUTH token validation failed with           oauth2_use_worker_with_mech=yes.
        - auth: Invalid field handling crashes were fixed.
        - auth: ldap - Potential crash could happen at deinit.
        - auth: mech-gssapi - Server sending empty initial response           would cause errors.
        - auth: mech-winbind - GSS-SPNEGO mechanism was erroneously           marked as
        - not accepting NUL.
        - config: Multiple issues with $SET handling has been fixed.
        - configure: Building without LDAP didn't work.
        - doveadm: If source user didn't exist, a crash would occur.
        - imap, pop3, submission, imap-urlauth: USER environment usage           was broken when running standalone.
        - imap-hibernate: Statistics would get truncated on           unhibernation.
        - imap: SEARCH MIMEPART FILENAME ENDS command could have           accessed memory outside allocated buffer, resulting in a           crash.
        - imapc: Fetching partial headers would cause other cached           headers to be cached empty, breaking e.g. imap envelope           responses when caching to disk.
        - imapc: Shared namespace's INBOX mailbox was not always           uppercased.
        - imapc: imapc_features=guid-forced GUID generation was not           working correctly.
        - lda: USER environment was not accepted if -d hasn't been           specified.
        - lib-http: http-url - Significant path percent encoding           through parse and create was not preserved. This is mainly           important for Dovecot's Lua bindings for lib-http.
        - lib-settings: Crash would occur when using %variables in           SET_FILE type settings.
        - lib-storage: Attachment flags were attempted to be added for           readonly mailboxes with mail_attachment_flags=add-flags.
        - lib-storage: Root directory for unusable shared namespaces           was unnecessarily attempted to be created.
        - lib: Crash would occur when config was reloaded and logging           to syslog.
        - login-common: Crash might have occured when login proxy was           destroyed.
        - sqlite: The sqlite_journal_mode=wal setting didn't actually           do anything.
        - Many other bugs have been fixed.
    - Update pigeonhole to 2.4.2
      - Changes
        - lib-sieve: Use new regular expression library in core.
        - managesieve: Add default           service_extra_groups=$SET:default_internal_group.
      - New features
        - lib-sieve: Add support for extlists extension.
        - lib-sieve: regex - Allow unicode comparator.
      - Bug fixes
        - lib-sieve-tool: sieve-tool - All sieve_script settings were           overriden.
        - lib-sieve: storage: dict: sieve_script_dict filter was           missing from settings.
        - sieve-ldap-storage: Fix compile without LDAP.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 43 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2025-e491c93405 advisory.

    fixes CVE-2025-30189


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
276504	Fedora 43dovecot2025-e491c93405	Nessus	Fedora Local Security Checks	11/22/2025	11/22/2025	high
269908	Fedora 44dovecot2025-d5eb72768a	Nessus	Fedora Local Security Checks	10/9/2025	10/9/2025	high
271467	Fedora 43dovecot2025-97d8911108	Nessus	Fedora Local Security Checks	10/25/2025	10/25/2025	critical
277015	openSUSE 16 セキュリティ更新dovecot24openSUSE-SU-2025-20113-1]	Nessus	SuSE Local Security Checks	12/2/2025	12/2/2025	high
269908	Fedora 44 : dovecot (2025-d5eb72768a)	Nessus	Fedora Local Security Checks	10/9/2025	10/9/2025	high
271467	Fedora 43 : dovecot (2025-97d8911108)	Nessus	Fedora Local Security Checks	10/25/2025	10/25/2025	critical
277015	openSUSE 16 Security Update : dovecot24 (openSUSE-SU-2025-20113-1)	Nessus	SuSE Local Security Checks	12/2/2025	12/2/2025	high
276504	Fedora 43 : dovecot (2025-e491c93405)	Nessus	Fedora Local Security Checks	11/22/2025	11/22/2025	high

Detections

Analytics

Plugins Search

high

high

critical

high

high

critical

high

high