Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-06559

Опубликовано: 15 авг. 2024
Источник: fstec
CVSS3: 6.5
CVSS2: 6.8
EPSS Низкий

Описание

Уязвимость почтового сервера Dovecot связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить отказ в обслуживании

Вендор

Red Hat Inc.
Novell Inc.
Сообщество свободного программного обеспечения
АО «ИВК»
Timo Sirainen
ООО «РусБИТех-Астра»

Наименование ПО

Red Hat Enterprise Linux
openSUSE Tumbleweed
Debian GNU/Linux
Альт 8 СП
АЛЬТ СП 10
Dovecot
Astra Linux Special Edition

Версия ПО

6 (Red Hat Enterprise Linux)
7 (Red Hat Enterprise Linux)
8 (Red Hat Enterprise Linux)
- (openSUSE Tumbleweed)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
- (Альт 8 СП)
9 (Red Hat Enterprise Linux)
- (АЛЬТ СП 10)
до 2.3.21.1 (Dovecot)
1.8 (Astra Linux Special Edition)

Тип ПО

Операционная система
Сетевое программное средство

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 6
Red Hat Inc. Red Hat Enterprise Linux 7
Red Hat Inc. Red Hat Enterprise Linux 8
Novell Inc. openSUSE Tumbleweed -
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
АО «ИВК» Альт 8 СП -
Red Hat Inc. Red Hat Enterprise Linux 9
АО «ИВК» АЛЬТ СП 10 -
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Dovecot:
https://github.com/dovecot/core/compare/8e4c42d%5E...1481c04.patch
https://github.com/dovecot/core/commit/8e4c42dbb3c770fcdbc396f2abcf1bc228ec548d
https://github.com/dovecot/core/commit/cee08202c759a3bdf185d998dcf888ebd1bc6e36
https://github.com/dovecot/core/commit/0bae091859c905dc335f21eed01347e6b8338672
https://github.com/dovecot/core/commit/a1c9b0409454e45937bf7e9c3685f5e91d6a5a43
https://github.com/dovecot/core/commit/da61d20311da34f22944c6111a0b97ea2a1f8a47
https://github.com/dovecot/core/commit/1481c04f02df7647f520df65d63df7626bf0ee32
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-23184
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2024-23184
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2024-23184.html
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для ОС Astra Linux:
обновить пакет dovecot до 1:2.3.19.1+dfsg1-2.1.deb12u1.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 41%
0.0019
Низкий

6.5 Medium

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.5
redos
8 месяцев назад

Уязвимость dovecot

CVSS3: 5
ubuntu
9 месяцев назад

Having a large number of address headers (From, To, Cc, Bcc, etc.) becomes excessively CPU intensive. With 100k header lines CPU usage is already 12 seconds, and in a production environment we observed 500k header lines taking 18 minutes to parse. Since this can be triggered by external actors sending emails to a victim, this is a security issue. An external attacker can send specially crafted messages that consume target system resources and cause outage. One can implement restrictions on address headers on MTA component preceding Dovecot. No publicly available exploits are known.

CVSS3: 6.5
redhat
10 месяцев назад

Having a large number of address headers (From, To, Cc, Bcc, etc.) becomes excessively CPU intensive. With 100k header lines CPU usage is already 12 seconds, and in a production environment we observed 500k header lines taking 18 minutes to parse. Since this can be triggered by external actors sending emails to a victim, this is a security issue. An external attacker can send specially crafted messages that consume target system resources and cause outage. One can implement restrictions on address headers on MTA component preceding Dovecot. No publicly available exploits are known.

CVSS3: 5
nvd
9 месяцев назад

Having a large number of address headers (From, To, Cc, Bcc, etc.) becomes excessively CPU intensive. With 100k header lines CPU usage is already 12 seconds, and in a production environment we observed 500k header lines taking 18 minutes to parse. Since this can be triggered by external actors sending emails to a victim, this is a security issue. An external attacker can send specially crafted messages that consume target system resources and cause outage. One can implement restrictions on address headers on MTA component preceding Dovecot. No publicly available exploits are known.

CVSS3: 5
debian
9 месяцев назад

Having a large number of address headers (From, To, Cc, Bcc, etc.) bec ...

EPSS

Процентиль: 41%
0.0019
Низкий

6.5 Medium

CVSS3

6.8 Medium

CVSS2