BDU:2021-03236

Опубликовано: 21 июн. 2021

Источник: fstec

CVSS3: 4.2

CVSS2: 3.6

EPSS Низкий

Описание

Уязвимость почтового сервера Dovecot связана с неверной нейтрализация особых элементов в выходных данных, используемых входящим компонентом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, раскрыть учетные данные пользователей

Вендор

Сообщество свободного программного обеспечения

Novell Inc.

Canonical Ltd.

Timo Sirainen

ООО «РусБИТех-Астра»

АО «ИВК»

АО "НППКТ"

Наименование ПО

Debian GNU/Linux

SUSE Linux Enterprise Server for SAP Applications

SUSE Enterprise Storage

SUSE Linux Enterprise High Performance Computing

Suse Linux Enterprise Server

Ubuntu

SUSE Linux Enterprise Module for Server Applications

SUSE CaaS Platform

SUSE Manager Proxy

SUSE Manager Retail Branch Server

SUSE Manager Server

Dovecot

OpenSUSE Leap

Astra Linux Special Edition

Альт 8 СП

ОСОН ОСнова Оnyx

Версия ПО

9 (Debian GNU/Linux)

15 (SUSE Linux Enterprise Server for SAP Applications)

6 (SUSE Enterprise Storage)

15-ESPOS (SUSE Linux Enterprise High Performance Computing)

15-LTSS (SUSE Linux Enterprise High Performance Computing)

15-LTSS (Suse Linux Enterprise Server)

20.04 LTS (Ubuntu)

20.10 (Ubuntu)

15 SP2 (SUSE Linux Enterprise Module for Server Applications)

4.0 (SUSE CaaS Platform)

21.04 (Ubuntu)

15 SP1-BCL (Suse Linux Enterprise Server)

15 SP1-LTSS (Suse Linux Enterprise Server)

15 SP1-LTSS (SUSE Linux Enterprise High Performance Computing)

15 SP1-ESPOS (SUSE Linux Enterprise High Performance Computing)

4.0 (SUSE Manager Proxy)

4.0 (SUSE Manager Retail Branch Server)

4.0 (SUSE Manager Server)

до 2.3.14.1 (Dovecot)

15 SP3 (SUSE Linux Enterprise Module for Server Applications)

15.3 SLE Imports (OpenSUSE Leap)

1.7 (Astra Linux Special Edition)

- (Альт 8 СП)

4.7 (Astra Linux Special Edition)

до 2.5 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое средство

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15

Novell Inc. Suse Linux Enterprise Server 15-LTSS

Canonical Ltd. Ubuntu 20.04 LTS

Canonical Ltd. Ubuntu 20.10

Canonical Ltd. Ubuntu 21.04

Novell Inc. Suse Linux Enterprise Server 15 SP1-BCL

Novell Inc. Suse Linux Enterprise Server 15 SP1-LTSS

Novell Inc. OpenSUSE Leap 15.3 SLE Imports

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «ИВК» Альт 8 СП -

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 3,6)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,2)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Dovecot:

https://dovecot.org/pipermail/dovecot-news/2021-June/000462.html

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2021-33515

Для программных продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2021-33515/

Для Ubuntu:

https://ubuntu.com/security/notices/USN-4993-1

Для ОСОН Основа:

Обновление программного обеспечения dovecot до версии 1:2.3.16+dfsg1-3

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-33515
CVE

EPSS

Процентиль: 91%

0.07633

Низкий

4.2 Medium

CVSS3

3.6 Low

CVSS2

Связанные уязвимости

CVE-2021-33515

CVSS3: 4.8

ubuntu

около 4 лет назад

The submission service in Dovecot before 2.3.15 allows STARTTLS command injection in lib-smtp. Sensitive information can be redirected to an attacker-controlled address.

CVE-2021-33515

CVSS3: 4.2

redhat

около 4 лет назад

The submission service in Dovecot before 2.3.15 allows STARTTLS command injection in lib-smtp. Sensitive information can be redirected to an attacker-controlled address.

CVE-2021-33515

CVSS3: 4.8

nvd

около 4 лет назад

The submission service in Dovecot before 2.3.15 allows STARTTLS command injection in lib-smtp. Sensitive information can be redirected to an attacker-controlled address.

CVE-2021-33515

CVSS3: 4.8

debian

около 4 лет назад

The submission service in Dovecot before 2.3.15 allows STARTTLS comman ...

RLSA-2022:1950

rocky

около 3 лет назад

Moderate: dovecot security update

EPSS

Процентиль: 91%

0.07633

Низкий

4.2 Medium

CVSS3

3.6 Low

CVSS2