运行 MAIN 6.02 版本的远程 NewStart CGSL 主机上安装的 cyrus-imapd 程序包受到多个漏洞的影响：

  - 2.5.14 之前的 Cyrus IMAP 2.5.x 和 3.0.12 之前的 3.x 支持权限升级，这是因为 HTTP 请求可以在通过相同连接到达无关先前请求的身份验证上下文中解释。(CVE-2019-18928)

  - 在 2.5.15 之前、3.0.13 之前的 3.0.x，以及 3.1.x 至 3.1.8 的 Cyrus IMAP 中，发现了问题。如果允许 sieve 脚本上传 (3.x) 或启用某些非默认 sieve 选项 (2.x)，则在该服务上拥有邮件帐户的用户可使用包含 fileinto 指令的 sieve 脚本，以管理员权限创建任何邮箱，这是 imap/lmtp_sieve.c 的 autosieve_createfolder() 中的文件夹处理不当所致。(CVE-2019-19783)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

检测

NewStart CGSL MAIN 6.02：cyrus-imapd 多个漏洞 (NS-SA-2021-0086)

critical Nessus 插件 ID 147242

未找到变更日志