Avis du CERTA : Vulnérabilité dans Dovecot
décembre 2007 par CERT-FR
1 Risque
Contournement de la politique de sécurité.
2 Systèmes affectés
Dovecot versions 1.0.9 et antérieures.
3 Résumé
Une vulnérabilité dans Dovecot permet à un utilisateur distant de contourner la
politique de sécurité du serveur vulnérable.
4 Description
Dovecot est un serveur de boîtes de courriel supportant les protocoles IMAP et
POP3 ainsi que leurs pendants chiffrés : IMAPS et POP3S. Une vulnérabilité a
été identifiée dans Dovecot. Elle est relative à la mise en oeuvre de
l’authentification basée sur un annuaire LDAP. Elle permet, sous certaines
conditions, à un utilisateur déjà authentifié d’avoir accès au contenu d’une
boîte d’un autre utilisateur.
5 Solution
Se référer au bulletin de sécurité de l’éditeur pour l’obtention des correctifs
(cf. section Documentation).
6 Documentation
* Site de Dovecot :
* Bulletin de publication de la version 1.0.10 de Dovecot du 29 décembre 2007
:
http://www.dovecot.org/list/dovecot-news/2007-December/000058.html
* Bulletin de sécurité du port FreeBSD de Dovecot du 29 décembre 2007 :