远程 Debian 12 主机上存在安装的程序包，该程序包受到 DLA-4873 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4873-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 10 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：dovecot 版本： 1:2.3.19.1+dfsg1-2.1+deb12u7 CVE ID： CVE-2026-27852 CVE-2026-33263 CVE-2026-33604 CVE-2026-33605 CVE-2026-33606 CVE-2026-33607 CVE-2026-40013 CVE-2026-40014 CVE-2026-40015 CVE-2026-40017 CVE-2026-40018 CVE-2026-40203 CVE-2026-40204 CVE-2026-40205 CVE-2026-42007 CVE-2026-42008 CVE-2026-42391 CVE-2026-42393 CVE-2026-42394 CVE-2026-42395 CVE-2026-52681 CVE-2026-52687 CVE-2026-73208 CVE-2026-73209 Debian 缺陷：1146018

    在 POP3/IMAP 服务器 dovecot 中发现多个漏洞，可导致拒绝服务、SMTP 走私、信息泄露、SQL 注入、远程代码执行、绕过 ACL 限制或帐户假冒。

    CVE-2026-27852

        如果攻击者能够向用户发送邮件，则可构建其标头包含大量电子邮件地址或 MIME 参数的消息，从而导致以后解析该消息时使用过量内存。

    CVE-2026-33263

        当设置“mail_max_userip_connections”（默认值为 10）并达到此水平时，提交登录可因文件描述符处理问题造成的“epoll（）”错误而崩溃。

    CVE-2026-33604

        如果攻击者可让 Dovecot 中继消息（例如通过 Sieve 重定向或提交中继），则可以使用消息正文中构建的行结尾来绕过出站保护，以防止消息内容被解释为 SMTP 命令。

    CVE-2026-33605

        未经认证的攻击者可通过在认证之前发送小型畸形命令来导致 ManageSieve 登录进程崩溃。

    CVE-2026-33606

        用户存储的邮件内容可经过特制，当管理员稍后使用流协议运行 dsync（1） 时（例如在迁移期间），将其解释为 dsync 协议命令。

    CVE-2026-33607

        经身份验证的攻击者可利用特制的 IMAP LIST 命令，通过过量 CPU 使用导致拒绝服务。这已通过回溯到 20000 来缓解;“match_sub（）”在超过该限制时返回IMAP_MATCH_NO。

    CVE-2026-40013

        经认证的攻击者可提交包含极大数字文本的 Sieve 脚本，从而在 ManageSieve 服务编译该脚本时导致越界写入。

    CVE-2026-40014

        能够向用户发送邮件的攻击者可构建消息标头，使受害者的 IMAP THREAD 命令消耗与消息大小不成比例的 CPU，从而导致拒绝服务。

    CVE-2026-40015

        经身份验证的攻击者可打开 imap-hibernate 服务的多个连接，并发送无效的命令，这些间歇性可造成越界读取和进程崩溃，导致拒绝服务。

    CVE-2026-40017

        可向用户发送邮件的攻击者可构建消息标头，其值被选为在内部哈希表中发生冲突，从而使 IMAP THREAD 命令消耗与消息大小不成比例的 CPU，从而导致拒绝服务。

        该补丁引入新的键控 xxh64 strmap 磁盘格式 v2。
        使用旧格式的 strmap 文件会自动升级，因此这些文件无法被较低版本或未修复的 dovecot 读取。

    CVE-2026-40018

        未经认证的攻击者可通过多字节转义执行 SQL 注入。

    CVE-2026-40203

        启用 IMAP 压缩时，会话中的响应会重复使用相同的压缩状态，因此响应大小取决于攻击者提供的邮件和同一邮箱中的其他邮件。

        如果攻击者能够向用户发送邮件，并且还可以观察该用户的 IMAP 流量大小，则可确认小型消息的正文是否与猜测的文本匹配。尚未证实可以恢复任意未知内容，但该攻击可泄露类似机密的消息正文是否匹配候选消息。

        现在通过在每个标记的响应行后通过“Z_FULL_FLUSH”来重置 DEFLATE 压缩字典来缓解这种 CRIME 风格的跨命令压缩 oracle 攻击。副作用是会话中的总流量可能无法像修复之前那样有效地压缩。

    CVE-2026-40204

        经认证的攻击者可通过 lda_mailbox_autocreate（） 绕过 ACL。

    CVE-2026-40205

        持有仅授予部分所需范围的 OAuth2 令牌的攻击者可以进行身份验证，因为当配置中需要多个范围时，远程标记验证路径会接受仅承载其中一个范围的标记，而本地标记验证路径正确地需要所有范围。

    CVE-2026-42007

        经认证的攻击者可使用具有 editheader 扩展的 Sieve 脚本来触发邮件编辑代码中的释放后使用，并将超出预期缓冲区的内存内容写入已投递的邮件，这可能导致任意代码执行。

    CVE-2026-42008

        从被列为受信任代理的主机接收的信息未与 Dovecot 自己的认证字段分开保存，因此可将该主机发送的值作为内部认证字段注入。因此，任何获准充当受信任代理的主机都可以在不知道任何用户的密码的情况下，以该用户的身份通过认证。

    CVE-2026-42391

        未经身份验证的攻击者在登录前可发送包含大量参数的 IMAP ID 命令，造成内存和 CPU 使用率不成比例地增长，进而导致拒绝服务。

    CVE-2026-42393

        用于 doveadm 密码和 API 密钥的比较不是完全时序安全的，可向能够准确测量响应时序的攻击者泄露已配置密码的长度。

    CVE-2026-42394

        Pigeonhole 的文件存储遵循解析脚本路径时遇到的任何符号链接，包括目标位于存储目录外的个人（用户可写入）存储中的符号链接，从而允许通过符号链接遍历泄露任意文件。

        不再遵循转义个人存储目录的符号链接。

    CVE-2026-42395

        被列为受信任代理的主机可发送包含空字节的转发信息，从而在下次登录尝试中使登录进程崩溃，从而导致拒绝服务。

    CVE-2026-52681

        Sieve CPU 资源使用情况在编译的脚本中进行跟踪，这允许未经认证的攻击者通过反复更改活动脚本来轻易重置核算。删除或重命名脚本时，还不会删除更多编译的脚本文件，从而导致磁盘上出现混乱并可能导致磁盘使用量过高。

        现在在按用户的 sieve-rusage 文件中跟踪累积 CPU 跟踪，而不是在每个已编译的 Sieve 脚本的二进制标头中进行跟踪。

    CVE-2026-52687

        经认证的攻击者可为其解压缩状态需要大量内存的 IMAP 连接选择压缩算法，并打开多个此类连接，从而导致拒绝服务。

        IMAP COMPRESS 现在仅限于根据 RFC 4978 的 DEFLATE。

    CVE-2026-73208

        持有用于其他目的的令牌的攻击者可以进行身份验证，因为当 OAuth2 令牌响应不包含范围声明时，将使用受众声明来代替它，并根据配置的必需范围进行检查。这些是不同的概念，受众声明并未描述令牌可以执行的操作。

    CVE-2026-73209

        经身份验证的攻击者可发送特制的压缩数据，造成受影响的进程耗尽其堆栈并崩溃，从而导致拒绝服务。

    对于 Debian 12 bookworm，这些问题已在 .3.19.1+dfsg1-2.1+deb12u7 版本 1:2中修复。

    我们建议您升级 dovecot 程序包。

    如需了解 dovecot 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/dovecot

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DLA-4873：dovecot-auth-lua - 安全更新

critical Nessus 插件 ID 374600

版本 1.1