来自 Red Hat 安全公告 2013:0520：

更新后的 dovecot 程序包修复了三个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Dovecot 是 IMAP 服务器，以安全为设计宗旨，适用于 Linux 及其他类 UNIX 系统。它还包含较小的 POP3 服务器。支持 maildir 或 mbox 格式的邮件。SQL 驱动程序和认证插件作为子程序包提供。

在 Dovecot 的脚本登录功能实施某些设置的方式中发现两个缺陷。认证的远程用户可利用这些缺陷绕过预期访问限制，或利用登录脚本执行目录遍历攻击。
（CVE-2011-2166、CVE-2011-2167）

在 Dovecot 配置为使用 TLS/SSL 协议通过代理 IMAP 和 POP3 连接到远程主机，并执行远程服务器身份验证的方式中发现一个缺陷。远程攻击者可利用此缺陷，使用受信任的证书颁发机构发放的 X.509 证书执行中间人攻击（针对不同的名称）。(CVE-2011-4318)

此更新还修复以下缺陷：

* 当新用户先访问其 IMAP 收件箱时，Dovecot 在某些情况下无法更改用户 Maildir 位置中收件箱目录的群组所有权，使之与该用户邮件池的所有权匹配 (/var/mail/$USER)。这会正确生成“Internal error occurred”消息。但在后续尝试访问收件箱时，Dovecot 看到该目录已存在并继续其操作，使该目录的权限设置不正确。此更新修正了底层权限设置错误。现在，新用户第一次访问其收件箱且无法设置群组所有权时，Dovecot 将删除创建的目录，并且生成错误消息，而不是保留群组所有权不正确的目录。(BZ#697620)

建议 dovecot 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，dovecot 服务将自动重新启动。

检测

Oracle Linux 6：dovecot (ELSA-2013-0520)

medium Nessus 插件 ID 68756

未找到变更日志