远程主机受到 GLSA-201904-19 中所述漏洞的影响（Dovecot：多个漏洞）在 Dovecot 中发现多个漏洞。请检查下面供参考的 CVE 标识符以了解详细信息。影响：如需详细的变通方案，请查看供参考的 CVE 标识符。目前无任何已知的变通方案。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2019: 3467 公告中提及的漏洞的影响。

  - dovecot：证书验证不当 (CVE-2019-3814)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的测试产品版本低于测试版本。因此，如公告 ALAS2-2020-1473 所述，该主机受到多个漏洞的影响。

  - 已发现 Dovecot 2.2.36.1 和 2.3.4.1 之前的版本未正确处理客户端证书。拥有空用户名字段的有效证书的远程攻击者可能利用此问题冒充其他用户。 （（CVE-2019-3814）

  - 在 Dovecot 2.2.36.3 之前的版本以及 2.3.5.1 之前的 2.3.x 版本中，本地攻击者可在 indexer-worker 进程中造成缓冲区溢出，进而藉此提升为 root 用户权限。这是因为 fts 和 pop3-uidl 组件中缺少检查所导致。(CVE-2019-7524)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

dovecot 的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Dovecot 是用于 Linux 和其他 UNIX 类似系统的 IMAP 服务器，编写时主要考虑安全性。它还包含较小的 POP3 服务器并且支持 maildir 或 mbox 格式的电子邮件。SQL 驱动程序和认证插件作为子程序包提供。安全补丁：* dovecot：不当证书验证 (CVE-2019-3814) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。更多变更：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 8.1 发行说明。

* dovecot：证书验证不当 * dovecot：indexer-worker 进程中的缓冲区溢出导致权限提升

已发现 Dovecot 未正确处理客户端证书。拥有空用户名字段的有效证书的远程攻击者可能利用此问题冒充其他用户。 

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 1062 公告中提及的多个漏洞的影响。

  - dovecot：证书验证不当 (CVE-2019-3814)

  - dovecot：indexer-worker 进程中的缓冲区溢出导致权限提升 (CVE-2019-7524)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 7 主机上安装的程序包受到 RHSA-2020:1062 公告中提及的多个漏洞影响。

  - 已发现 Dovecot 2.2.36.1 和 2.3.4.1 之前的版本未正确处理客户端证书。拥有空用户名字段的有效证书的远程攻击者可能利用此问题冒充其他用户。 （（CVE-2019-3814）

  - 在 Dovecot 2.2.36.3 之前的版本以及 2.3.5.1 之前的 2.3.x 版本中，本地攻击者可在 indexer-worker 进程中造成缓冲区溢出，进而藉此提升为 root 用户权限。这是因为 fts 和 pop3-uidl 组件中缺少检查所导致。(CVE-2019-7524)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

运行 CORE 5.04/MAIN 5.04 版本的远程 NewStart CGSL 主机上安装的 dovecot 程序包受到多个漏洞的影响：

  - 在 Dovecot 2.2.36.3 之前的版本以及 2.3.5.1 之前的 2.3.x 版本中，本地攻击者可在 indexer-worker 进程中造成缓冲区溢出，进而藉此提升为 root 用户权限。这是因为 fts 和 pop3-uidl 组件中缺少检查所导致。(CVE-2019-7524)

  - 已发现 Dovecot 2.2.36.1 和 2.3.4.1 之前的版本未正确处理客户端证书。拥有空用户名字段的有效证书的远程攻击者可能利用此问题冒充其他用户。 （（CVE-2019-3814）

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 Oracle Linux 7 主机上安装的多个程序包受到 ELSA-2020-1062 公告中提及的多个漏洞影响。

  - 已发现 Dovecot 2.2.36.1 和 2.3.4.1 之前的版本未正确处理客户端证书。拥有空用户名字段的有效证书的远程攻击者可能利用此问题冒充其他用户。 （（CVE-2019-3814）

  - 在 Dovecot 2.2.36.3 之前的版本以及 2.3.5.1 之前的 2.3.x 版本中，本地攻击者可在 indexer-worker 进程中造成缓冲区溢出，进而藉此提升为 root 用户权限。这是因为 fts 和 pop3-uidl 组件中缺少检查所导致。(CVE-2019-7524)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

halfdog 发现，Dovecot 电子邮件服务器中存在身份验证绕过漏洞。在某些配置下，Dovecot 会错误地信任由身份验证提供的用户名，而不是验证失败。如果没有其他密码验证，那么此漏洞可让攻击者以系统中任何人的身份登录。仅使用了：- auth_ssl_require_client_cert = yes - auth_ssl_username_from_cert = yes 安装的情况会受到此缺陷的影响。

在达夫科特之前 2.2.36.3 和 2.3.x 之前 2.3.5.1，本地攻击者可能会导致分度工过程的缓冲器溢出，其可被用于提升到根。这是因为fts和pop3-uidl组件中缺少检查所导致。 （（CVE-2019-7524）

发现 Dovecot 未能正确处理某些验证。2.2.36.12.3.4.1 拥有空用户名字段的有效证书的远程攻击者可能利用此问题冒充其他用户。 （（CVE-2019-3814）

运行 CORE 5.05/MAIN 5.05 版本的远程 NewStart CGSL 主机上安装的 dovecot 程序包受到多个漏洞的影响：

  - 在 Dovecot 2.2.36.3 之前的版本以及 2.3.5.1 之前的 2.3.x 版本中，本地攻击者可在 indexer-worker 进程中造成缓冲区溢出，进而藉此提升为 root 用户权限。这是因为 fts 和 pop3-uidl 组件中缺少检查所导致。(CVE-2019-7524)

  - 已发现 Dovecot 2.2.36.1 和 2.3.4.1 之前的版本未正确处理客户端证书。拥有空用户名字段的有效证书的远程攻击者可能利用此问题冒充其他用户。 （（CVE-2019-3814）

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 Oracle Linux 8 主机上安装的多个程序包受到 ELSA-2019-3467 公告中提及的漏洞的影响。

  - 已发现 Dovecot 2.2.36.1 和 2.3.4.1 之前的版本未正确处理客户端证书。拥有空用户名字段的有效证书的远程攻击者可能利用此问题冒充其他用户。 （（CVE-2019-3814）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 已发现 Dovecot 2.2.36.1 和 2.3.4.1 之前的版本未正确处理客户端证书。拥有空用户名字段的有效证书的远程攻击者可能利用此问题冒充其他用户。 （（CVE-2019-3814）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

dovecot IMAP/POP3 服务器中发现漏洞。TLS 用户名处理中存在缺陷，如果 auth_ssl_{require_client,username_from}_cert 都启用，可能会造成攻击者以系统中任何人的身份登录。对于 Debian 8“Jessie”，这一问题已在 dovecot 版本 1:2.2.13-12~deb8u5 中修复。我们建议您升级 dovecot 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
124132	GLSA-201904-19：Dovecot：多个漏洞	Nessus	Gentoo Local Security Checks	2019/4/18	2024/6/3	high
145614	CentOS 8：dovecot (CESA-2019: 3467)	Nessus	CentOS Local Security Checks	2021/1/29	2025/2/20	medium
139852	Amazon Linux 2：* dovecot：ALAS-2020-1473	Nessus	Amazon Linux Local Security Checks	2020/8/26	2024/12/11	high
130542	RHEL 8 : dovecot (RHSA-2019:3467)	Nessus	Red Hat Local Security Checks	2019/11/6	2025/2/24	medium
135805	Scientific Linux 安全更新：SL7.x x86_64 中的 dovecot (20200407)	Nessus	Scientific Linux Local Security Checks	2020/4/21	2024/3/15	high
121619	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：Dovecot 漏洞 (USN-3881-1)	Nessus	Ubuntu Local Security Checks	2019/2/6	2025/3/20	medium
135038	RHEL 7：dovecot (RHSA-2020: 1062)	Nessus	Red Hat Local Security Checks	2020/3/31	2024/11/7	high
135329	CentOS 7：dovecot (RHSA-2020:1062)	Nessus	CentOS Local Security Checks	2020/4/10	2024/10/9	high
143982	NewStart CGSL CORE 5.04 / MAIN 5.04：dovecot 多个漏洞 (NS-SA-2020-0071)	Nessus	NewStart CGSL Local Security Checks	2020/12/9	2024/2/5	high
180699	Oracle Linux 7：dovecot (ELSA-2020-1062)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/11/1	high
121603	Debian DSA-4385-1：dovecot - 安全更新	Nessus	Debian Local Security Checks	2019/2/6	2025/3/20	medium
136624	Amazon Linux AMI：* dovecot：ALAS-2020-1363	Nessus	Amazon Linux Local Security Checks	2020/5/15	2024/12/11	high
144049	NewStart CGSL CORE 5.05 / MAIN 5.05：dovecot 多个漏洞 (NS-SA-2020-0105)	Nessus	NewStart CGSL Local Security Checks	2020/12/10	2024/2/2	high
180813	Oracle Linux 8：dovecot (ELSA-2019-3467)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2025/2/19	medium
222905	Linux Distros 未修补的漏洞: CVE-2019-3814	Nessus	Misc.	2025/3/4	2025/9/3	medium
122037	Debian DLA-1667-1：dovecot 安全更新	Nessus	Debian Local Security Checks	2019/2/8	2025/3/20	medium

检测

插件搜索

high

medium

high

medium

high

medium

high

high

high

high

medium

high

high

medium

medium

medium