据发现，Dovecot 做为 POP3 和 IMAP Proxy 代理使用时，并未正确验证证书主机名。如果远程攻击者能够执行中间人攻击，可利用该缺陷查看敏感信息。

远程iraclelinux 4 主机上存在安装的程序包该程序包受到 AXSA:2013-272:01 公告中提及的多个漏洞的影响。

    Dovecot 是一款用于类 Linux/UNIX 系统的 IMAP 服务器在编写时主要考虑安全性。它还包含较小的 POP3 服务器。支持 maildir 或 mbox 格式的邮件。
    SQL 驱动程序和认证插件位于其各自的子程序包中。
    此版本修复的安全问题
     CVE-2011-21662.0.13 之前的 Dovecot 中的 2.0.x 脚本登录不遵循用户和群组配置设置这可能允许经认证的远程用户利用脚本绕过预期访问限制。
     CVE-2011-2167 [] 之前的 Dovecot 2.0.x2.0.13 中的 [] 脚本登录不遵循 chroot 配置设置这样可能允许经认证的远程用户利用脚本进行目录遍历攻击。
     CVE-2011-43182.0.16之前的 Dovecot 2.0.x 在启用了 ssl 或 starttls 并使用主机名定义代理目标时不验证服务器主机名是否与 X.509 证书中主题的公用名 (CN) 中的域名匹配允许中间人攻击者通过不同主机名的有效证书欺骗 SSL 服务器。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 dovecot 程序包修复了三个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Dovecot 是 IMAP 服务器，以安全为设计宗旨，适用于 Linux 及其他类 UNIX 系统。它还包含较小的 POP3 服务器。支持 maildir 或 mbox 格式的邮件。SQL 驱动程序和认证插件作为子程序包提供。

在 Dovecot 的脚本登录功能实施某些设置的方式中发现两个缺陷。认证的远程用户可利用这些缺陷绕过预期访问限制，或利用登录脚本执行目录遍历攻击。
（CVE-2011-2166、CVE-2011-2167）

在 Dovecot 配置为使用 TLS/SSL 协议通过代理 IMAP 和 POP3 连接到远程主机，并执行远程服务器身份验证的方式中发现一个缺陷。远程攻击者可利用此缺陷，使用受信任的证书颁发机构发放的 X.509 证书执行中间人攻击（针对不同的名称）。(CVE-2011-4318)

此更新还修复以下缺陷：

* 当新用户先访问其 IMAP 收件箱时，Dovecot 在某些情况下无法更改用户 Maildir 位置中收件箱目录的群组所有权，使之与该用户邮件池的所有权匹配 (/var/mail/$USER)。这会正确生成“Internal error occurred”消息。但在后续尝试访问收件箱时，Dovecot 看到该目录已存在并继续其操作，使该目录的权限设置不正确。此更新修正了底层权限设置错误。现在，新用户第一次访问其收件箱且无法设置群组所有权时，Dovecot 将删除创建的目录，并且生成错误消息，而不是保留群组所有权不正确的目录。(BZ#697620)

建议 dovecot 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，dovecot 服务将自动重新启动。

来自 Red Hat 安全公告 2013:0520：

更新后的 dovecot 程序包修复了三个安全问题和一个缺陷，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Dovecot 是 IMAP 服务器，以安全为设计宗旨，适用于 Linux 及其他类 UNIX 系统。它还包含较小的 POP3 服务器。支持 maildir 或 mbox 格式的邮件。SQL 驱动程序和认证插件作为子程序包提供。

在 Dovecot 的脚本登录功能实施某些设置的方式中发现两个缺陷。认证的远程用户可利用这些缺陷绕过预期访问限制，或利用登录脚本执行目录遍历攻击。
（CVE-2011-2166、CVE-2011-2167）

在 Dovecot 配置为使用 TLS/SSL 协议通过代理 IMAP 和 POP3 连接到远程主机，并执行远程服务器身份验证的方式中发现一个缺陷。远程攻击者可利用此缺陷，使用受信任的证书颁发机构发放的 X.509 证书执行中间人攻击（针对不同的名称）。(CVE-2011-4318)

此更新还修复以下缺陷：

* 当新用户先访问其 IMAP 收件箱时，Dovecot 在某些情况下无法更改用户 Maildir 位置中收件箱目录的群组所有权，使之与该用户邮件池的所有权匹配 (/var/mail/$USER)。这会正确生成“Internal error occurred”消息。但在后续尝试访问收件箱时，Dovecot 看到该目录已存在并继续其操作，使该目录的权限设置不正确。此更新修正了底层权限设置错误。现在，新用户第一次访问其收件箱且无法设置群组所有权时，Dovecot 将删除创建的目录，并且生成错误消息，而不是保留群组所有权不正确的目录。(BZ#697620)

建议 dovecot 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，dovecot 服务将自动重新启动。

在代理模式下，dovecot 没有验证远程主机的 SSL 证书是否确实与服务器名称相匹配。

Dovecot 更新到 2.0.16 版，修复了此问题。

在 Dovecot 的脚本登录功能实施某些设置的方式中发现两个缺陷。认证的远程用户可利用这些缺陷绕过预期访问限制，或利用登录脚本执行目录遍历攻击。
（CVE-2011-2166、CVE-2011-2167）

在 Dovecot 配置为使用 TLS/SSL 协议通过代理 IMAP 和 POP3 连接到远程主机，并执行远程服务器身份验证的方式中发现一个缺陷。远程攻击者可利用此缺陷，使用受信任的证书颁发机构发放的 X.509 证书执行中间人攻击（针对不同的名称）。(CVE-2011-4318)

此更新还修复以下缺陷：

- 当新用户先访问其 IMAP 收件箱时，Dovecot 在某些情况下无法更改用户 Maildir 位置中收件箱目录的群组所有权，使之与该用户邮件池的所有权匹配 (/var/mail/$USER)。这会正确生成“Internal error occurred”消息。但在后续尝试访问收件箱时，Dovecot 看到该目录已存在并继续其操作，使该目录的权限设置不正确。此更新修正了底层权限设置错误。现在，新用户第一次访问其收件箱且无法设置群组所有权时，Dovecot 将删除创建的目录，并且生成错误消息，而不是保留群组所有权不正确的目录。

安装更新后的程序包后，dovecot 服务将自动重新启动。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
57059	Ubuntu 11.10：dovecot 漏洞 (USN-1295-1)	Nessus	Ubuntu Local Security Checks	2011/12/9	2019/9/19	medium
288892	MagicLinux 4dovecot-2.0.9-5.AXS4 (AXSA:2013-272:01)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	medium
64767	RHEL 6：dovecot (RHSA-2013:0520)	Nessus	Red Hat Local Security Checks	2013/2/21	2021/1/14	medium
68756	Oracle Linux 6：dovecot (ELSA-2013-0520)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	medium
75820	openSUSE 安全更新：dovecot20 (openSUSE-SU-2012:0219-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium
65009	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 dovecot	Nessus	Scientific Linux Local Security Checks	2013/3/5	2021/1/14	medium
65151	CentOS 6：dovecot (CESA-2013:0520)	Nessus	CentOS Local Security Checks	2013/3/10	2021/1/4	medium
74536	openSUSE 安全更新：dovecot20 (openSUSE-2011-88)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium