Avis du CERT-FR
Objet : Vulnérabilité dans Dovecot
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Contournement de la politique de sécurité
Systèmes affectés
Dovecot versions 1.0.9 et antérieures.
Résumé
Une vulnérabilité dans Dovecot permet à un utilisateur distant de contourner la politique de sécurité du serveur vulnérable.
Description
Dovecot est un serveur de boîtes de courriel supportant les protocoles IMAP et POP3 ainsi que leurs pendants chiffrés : IMAPS et POP3S. Une vulnérabilité a été identifiée dans Dovecot. Elle est relative à la mise en œuvre de l'authentification basée sur un annuaire LDAP. Elle permet, sous certaines conditions, à un utilisateur déjà authentifié d'avoir accès au contenu d'une boîte d'un autre utilisateur.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de publication de la version 1.0.10 de Dovecot du 29 décembre 2007 :
http://www.dovecot.org/list/dovecot-news/2007-December/000058.html -
Bulletin de sécurité du port FreeBSD de Dovecot du 29 décembre 2007 :
http://www.vuxml.org/freebsd/pkg-dovecot.html -
Site de Dovecot :
http://www.dovecot.org
Gestion détaillée du document
| Date | Description |
|---|---|
| 31 décembre 2007 | version initiale. |