远程主机受到 GLSA-201110-04 中所述漏洞的影响（Dovecot：多种漏洞）

在 Dovecot 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可利用这些漏洞，造成远程执行任意代码或拒绝服务情况，以发动目录遍历攻击、损坏数据或泄露信息。
 变通方案：

目前无任何已知的变通方案。

更新后的 dovecot 程序包修复了三个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Dovecot 是 IMAP 服务器，以安全为设计宗旨，适用于 Linux 及其他类 UNIX 系统。它还包含较小的 POP3 服务器。支持 maildir 或 mbox 格式的邮件。SQL 驱动程序和认证插件作为子程序包提供。

在 Dovecot 的脚本登录功能实施某些设置的方式中发现两个缺陷。认证的远程用户可利用这些缺陷绕过预期访问限制，或利用登录脚本执行目录遍历攻击。
（CVE-2011-2166、CVE-2011-2167）

在 Dovecot 配置为使用 TLS/SSL 协议通过代理 IMAP 和 POP3 连接到远程主机，并执行远程服务器身份验证的方式中发现一个缺陷。远程攻击者可利用此缺陷，使用受信任的证书颁发机构发放的 X.509 证书执行中间人攻击（针对不同的名称）。(CVE-2011-4318)

此更新还修复以下缺陷：

* 当新用户先访问其 IMAP 收件箱时，Dovecot 在某些情况下无法更改用户 Maildir 位置中收件箱目录的群组所有权，使之与该用户邮件池的所有权匹配 (/var/mail/$USER)。这会正确生成“Internal error occurred”消息。但在后续尝试访问收件箱时，Dovecot 看到该目录已存在并继续其操作，使该目录的权限设置不正确。此更新修正了底层权限设置错误。现在，新用户第一次访问其收件箱且无法设置群组所有权时，Dovecot 将删除创建的目录，并且生成错误消息，而不是保留群组所有权不正确的目录。(BZ#697620)

建议 dovecot 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，dovecot 服务将自动重新启动。

在 Dovecot 的脚本登录功能实施某些设置的方式中发现两个缺陷。认证的远程用户可利用这些缺陷绕过预期访问限制，或利用登录脚本执行目录遍历攻击。
（CVE-2011-2166、CVE-2011-2167）

在 Dovecot 配置为使用 TLS/SSL 协议通过代理 IMAP 和 POP3 连接到远程主机，并执行远程服务器身份验证的方式中发现一个缺陷。远程攻击者可利用此缺陷，使用受信任的证书颁发机构发放的 X.509 证书执行中间人攻击（针对不同的名称）。(CVE-2011-4318)

此更新还修复以下缺陷：

- 当新用户先访问其 IMAP 收件箱时，Dovecot 在某些情况下无法更改用户 Maildir 位置中收件箱目录的群组所有权，使之与该用户邮件池的所有权匹配 (/var/mail/$USER)。这会正确生成“Internal error occurred”消息。但在后续尝试访问收件箱时，Dovecot 看到该目录已存在并继续其操作，使该目录的权限设置不正确。此更新修正了底层权限设置错误。现在，新用户第一次访问其收件箱且无法设置群组所有权时，Dovecot 将删除创建的目录，并且生成错误消息，而不是保留群组所有权不正确的目录。

安装更新后的程序包后，dovecot 服务将自动重新启动。

来自 Red Hat 安全公告 2013:0520：

更新后的 dovecot 程序包修复了三个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Dovecot 是 IMAP 服务器，以安全为设计宗旨，适用于 Linux 及其他类 UNIX 系统。它还包含较小的 POP3 服务器。支持 maildir 或 mbox 格式的邮件。SQL 驱动程序和认证插件作为子程序包提供。

在 Dovecot 的脚本登录功能实施某些设置的方式中发现两个缺陷。认证的远程用户可利用这些缺陷绕过预期访问限制，或利用登录脚本执行目录遍历攻击。
（CVE-2011-2166、CVE-2011-2167）

在 Dovecot 配置为使用 TLS/SSL 协议通过代理 IMAP 和 POP3 连接到远程主机，并执行远程服务器身份验证的方式中发现一个缺陷。远程攻击者可利用此缺陷，使用受信任的证书颁发机构发放的 X.509 证书执行中间人攻击（针对不同的名称）。(CVE-2011-4318)

此更新还修复以下缺陷：

* 当新用户先访问其 IMAP 收件箱时，Dovecot 在某些情况下无法更改用户 Maildir 位置中收件箱目录的群组所有权，使之与该用户邮件池的所有权匹配 (/var/mail/$USER)。这会正确生成“Internal error occurred”消息。但在后续尝试访问收件箱时，Dovecot 看到该目录已存在并继续其操作，使该目录的权限设置不正确。此更新修正了底层权限设置错误。现在，新用户第一次访问其收件箱且无法设置群组所有权时，Dovecot 将删除创建的目录，并且生成错误消息，而不是保留群组所有权不正确的目录。(BZ#697620)

建议 dovecot 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，dovecot 服务将自动重新启动。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
56446	GLSA-201110-04：Dovecot：多种漏洞	Nessus	Gentoo Local Security Checks	2011/10/11	2021/1/6	high
65151	CentOS 6：dovecot (CESA-2013:0520)	Nessus	CentOS Local Security Checks	2013/3/10	2021/1/4	medium
64767	RHEL 6：dovecot (RHSA-2013:0520)	Nessus	Red Hat Local Security Checks	2013/2/21	2021/1/14	medium
65009	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 dovecot	Nessus	Scientific Linux Local Security Checks	2013/3/5	2021/1/14	medium
68756	Oracle Linux 6：dovecot (ELSA-2013-0520)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	medium

检测

插件搜索

high

medium

medium

medium

medium