远程主机受到 GLSA-201110-04 中所述漏洞的影响（Dovecot：多种漏洞）

在 Dovecot 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可利用这些漏洞，造成远程执行任意代码或拒绝服务情况，以发动目录遍历攻击、损坏数据或泄露信息。
 变通方案：

目前无任何已知的变通方案。

更新后的 dovecot 程序包修复了两个安全问题并添加了一项增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Dovecot 是用于 Linux、UNIX 和类似操作系统的 IMAP 服务器，编写时主要考虑安全性。

在 Dovecot 处理 SIGCHLD 信号的方式中发现一个缺陷。如果大量 IMAP 或 POP3 会话断开连接导致 Dovecot 主进程快速收到这些信号，则可能导致主进程崩溃。(CVE-2010-3780)

在 Dovecot 处理为某个邮箱定义的多个访问控制列表 (ACL) 的方式中发现一个缺陷。在某些情况下，Dovecot 可能无法应用更多特定 ACL 条目，可能导致授予用户更多非预期的访问权限。(CVE-2010-3707)

此更新还添加了以下增强：

* 此勘误表将 Dovecot 升级到上游版本 2.0.9，提供“dsync”实用工具的多个补丁并提高了总体性能。安装此更新后，请参阅“/usr/share/doc/dovecot-2.0.9/ChangeLog”文件了解更多关于更改的信息。(BZ#637056)

建议 dovecot 用户升级这些更新后的程序包，其中解决了这些问题并添加此增强。安装更新后的程序包后，dovecot 服务将自动重新启动。

据发现，Dovecot 中的 ACL 插件会不正确地将 ACL 传播至新邮箱。经认证的远程用户可能读取以错误 ACL 创建的新邮箱。
(CVE-2010-3304)

据发现，Dovecot 中的 ACL 插件会在特定情况下不正确地合并 ACL。经认证的远程用户可能绕过预期访问限制并获取对邮箱的访问。（CVE-2010-3706、CVE-2010-3707）

据发现，Dovecot 中的 ACL 插件会不正确地将管理权限授予特定邮箱的所有者。经认证的远程用户可能绕过预期访问限制并获取对邮箱的访问。(CVE-2010-3779)

据发现，Dovecot 未正确处理大量会话的同时断开连接。经认证的远程用户可利用此缺陷，造成 Dovecot 崩溃，进而导致拒绝服务。(CVE-2010-3780)。

Dovecot 是用于 Linux、UNIX 和类似操作系统的 IMAP 服务器，编写时主要考虑安全性。

在 Dovecot 处理 SIGCHLD 信号的方式中发现一个缺陷。如果大量 IMAP 或 POP3 会话断开连接导致 Dovecot 主进程快速收到这些信号，则可能导致主进程崩溃。(CVE-2010-3780)

在 Dovecot 处理为某个邮箱定义的多个访问控制列表 (ACL) 的方式中发现一个缺陷。在某些情况下，Dovecot 可能无法应用更多特定 ACL 条目，可能导致授予用户更多非预期的访问权限。(CVE-2010-3707)

此更新还添加了以下增强：

- 此勘误表将 Dovecot 升级到上游版本 2.0.9，提供“dsync”实用工具的多个补丁并提高了总体性能。安装此更新后，请参阅“/usr/share/doc/dovecot-2.0.9/ChangeLog”文件了解更多关于更改的信息。(BZ#637056)

建议 dovecot 用户升级这些更新后的程序包，其中解决了这些问题并添加此增强。安装更新后的程序包后，dovecot 服务将自动重新启动。

远程 Oracle Linux 6 主机上安装的程序包受到 ELSA-2011-0600 公告中提及的多个漏洞的影响。

    [2.0.9-2]
    - 修复在 2.0.9 中发现的问题和断言崩溃(lmtp、dotlock、zlib)

    [2.0.9-1]
    - dovecot 已更新到 2.0.9
    - 修复了高系统 CPU 使用率/高上下文切换计数性能问题
    - lda修复了尝试发送“超出配额”回复时的崩溃

    [2.0.8-1]
    - dovecot 已更新到 2.0.8 修复 #654226归集已更新到 0.2.2
    - IMAP已修复 SELECT QRESYNC使其不会在邮箱关闭时发送大量变更时崩溃。
    - 修复了写入 dovecot.mailbox.log 时泄漏的 fds。
    - 修复了罕见的 dovecot.index.cache 损坏
    - zlib修复了主要通过 mbox 出现的多个崩溃。
    - acl修复了有时通过 dict 代理列出共享邮箱时发生的崩溃。
    - mdbox修复了在一个事务中保存多条消息时潜在的断言崩溃
    - dsync大量补丁
    - 修复了 lda + sieve 崩溃

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
56446	GLSA-201110-04：Dovecot：多种漏洞	Nessus	Gentoo Local Security Checks	2011/10/11	2021/1/6	high
54597	RHEL 6：dovecot (RHSA-2011:0600)	Nessus	Red Hat Local Security Checks	2011/5/20	2025/4/14	high
51900	Ubuntu 10.04 LTS / 10.10：dovecot 漏洞 (USN-1059-1)	Nessus	Ubuntu Local Security Checks	2011/2/8	2019/9/19	medium
61039	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 dovecot	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
181062	Oracle Linux 6：dovecot (ELSA-2011-0600)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2025/4/29	high

检测

插件搜索

high

high

medium

medium

high