أصدرت ديبيان في 5 أبريل 2026 النشرة DSA-6197-1 لحزمة Dovecot على ديبيان 12 (bookworm) وديبيان 13 (trixie)، وحملت إصلاحات نشرة Open-Xchange OXDC-ADV-2026-0001 التي صنّفتها الشركة بخطورة إجمالية عالية. ووصفت ديبيان الأثر المحتمل بأنه حجب الخدمة أو حقن SQL أو تجاوز المسارات أو هجمات إعادة الإرسال أو هجمات القنوات الجانبية الزمنية.
احتاج إصدار bookworm إلى تحديثين لاحقين لمعالجة تراجعات في السلوك: DSA-6197-2 في اليوم التالي، وDSA-6197-3 في 1 مايو. تشرح هذه المقالة ما الذي أُصلح، وما الذي تعطل، وكيف تتأكد من سلامة الخادم.
نظرة سريعة
| البند | التفاصيل |
|---|---|
| الحزمة المصدرية | dovecot (ومن حزمها الثنائية dovecot-core وdovecot-imapd وdovecot-managesieved وdovecot-sieve) |
| ديبيان 13 (trixie) | 1:2.4.1+dfsg1-6+deb13u4 ضمن DSA-6197-1 |
| ديبيان 12 (bookworm) | 1:2.3.19.1+dfsg1-2.1+deb12u2 ضمن DSA-6197-1، ثم 1:2.3.19.1+dfsg1-2.1+deb12u3 ضمن DSA-6197-2، ثم 1:2.3.19.1+dfsg1-2.1+deb12u4 ضمن DSA-6197-3 |
| ديبيان 11 (bullseye) | DLA-4556-1 بالإصدار 1:2.3.13+dfsg1-2+deb11u3 (وقد انتهى دعم LTS له لاحقًا) |
| الخطورة | عالية (تصنيف Open-Xchange، وتصل درجة CVSS إلى 7.7) |
ما هي هذه الثغرات؟
نقاط ضعف في المصادقة
- CVE-2026-24031 (الدرجة 7.7، تخص Dovecot 2.4 أي trixie فقط): يمكن تجاوز المصادقة المعتمدة على SQL لأي مستخدم إذا أفرغ المسؤول الإعداد
auth_username_chars، ونصيحة Open-Xchange هي عدم إفراغه. وتقابلها في LDAP الثغرة CVE-2026-27860 (حقن مرشحات LDAP)، وهي أيضًا خاصة بالإصدار 2.4. - CVE-2026-27856 (7.4): كانت بيانات اعتماد doveadm تُقارن بطريقة تكشف فروقًا زمنية، ما قد يسمح للمهاجم باستنتاج السر المضبوط والحصول على وصول كامل لتلك الواجهة. وتنصح Open-Xchange بتقييد الوصول إلى منفذ HTTP الخاص بـ doveadm.
- CVE-2026-27855 (6.8): أمكن إعادة إرسال آلية OTP في إعدادات معيّنة عند تفعيل ذاكرة المصادقة المؤقتة.
- CVE-2026-0394 (5.3): مع قواعد passwd-file منفصلة لكل نطاق، قد يؤدي تجاوز المسار إلى قراءة
/etc/passwdبدلًا منها.
حجب الخدمة
- CVE-2025-59032 (7.5): كان أمر AUTHENTICATE في ManageSieve يُسقط الخدمة عند تمرير قيمة literal كاستجابة SASL أولية.
- CVE-2026-27858 (7.5) وCVE-2026-27857 (4.3): مدخلات مصمَّمة قبل تسجيل الدخول قد تدفع عمليتي managesieve-login وimap-login إلى استهلاك مفرط للذاكرة.
- CVE-2026-27859 (5.3): رسائل تحتوي عددًا مفرطًا من معاملات MIME وفق RFC 2231 كانت تسبب استهلاكًا عاليًا للمعالج.
أما CVE-2025-59031 فتخص نص المثال decode2text.sh المستخدم لفهرسة المرفقات، إذ كان قد يتبع الروابط الرمزية. ولا توجد أي من هذه الثغرات في فهرس CISA للثغرات المستغلة فعليًا (نسخة 30 أكتوبر 2026).
تراجعات bookworm
- DSA-6197-2 (6 أبريل): تسبب نقل إصلاح CVE-2025-59032 إلى bookworm في تعطيل المصادقة على
managesieved، فلم يتمكن من يديرون مرشحات بريدهم عبر ManageSieve من تسجيل الدخول حتى صدور...deb12u3. - DSA-6197-3 (1 مايو): تسبب نقل إصلاح CVE-2026-0394 إلى bookworm في خلل بتطبيع المسارات في عمليات البحث عبر passwd-file، وأُصلح في
...deb12u4.
كان الخللان في الإصلاحات الأمنية نفسها، لذا فالحل هو التقدم إلى الإصدار الأحدث لا التراجع عن التحديث.
هل أنت متأثر؟
dpkg-query -W -f='${Package} ${Version}\n' 'dovecot-*'
apt policy dovecot-core
sudo doveconf -n | grep -nE 'passwd-file|auth_username_chars|doveadm|otp|managesieve'صدرت لـ Dovecot إصلاحات أخرى بعد أبريل (DSA-6313-1 في مايو، وDSA-6526-1 لإصدار trixie في سبتمبر، وDLA-4873-1 لإصدار bookworm في 31 أكتوبر). والإصدارات المستهدفة اليوم هي 1:2.4.1+dfsg1-6+deb13u7 على trixie و1:2.3.19.1+dfsg1-2.1+deb12u7 على bookworm، وأي إصدار أقدم تنقصه إصلاحات.
طريقة التحديث
sudo apt update
sudo apt install --only-upgrade dovecot-core dovecot-imapd dovecot-pop3d dovecot-lmtpd dovecot-sieve dovecot-managesieved dovecot-mysql dovecot-pgsql dovecot-sqlite dovecot-ldap
apt policy dovecot-coreهل يلزم إعادة التشغيل؟
لا حاجة إلى إعادة تشغيل الخادم. أعد تشغيل Dovecot ثم اختبر مسارات الدخول التي تأثرت بالتراجعات:
sudo systemctl restart dovecot
sudo doveadm auth test user@example.com
sudo systemctl status dovecot --no-pagerاستبدل العنوان بحساب حقيقي، وسيطلب منك doveadm auth test كلمة المرور. وإن كنت تستخدم ManageSieve فاحفظ مرشحًا من برنامجك للتأكد من أن الدخول عبر المنفذ 4190 يعمل.
المصادر
- security-tracker.debian.org/tracker/DSA-6197-1
- debian.org/security/2026/dsa-6197
- lists.debian.org/debian-security-announce/2026/msg00106.html
- security-tracker.debian.org/tracker/DSA-6197-2
- lists.debian.org/debian-security-announce/2026/msg00110.html
- security-tracker.debian.org/tracker/DSA-6197-3
- lists.debian.org/debian-security-announce/2026/msg00150.html
- security-tracker.debian.org/tracker/DLA-4556-1
- lists.debian.org/debian-lts-announce/2026/05/msg00000.html
- security-tracker.debian.org/tracker/CVE-2026-24031
- security-tracker.debian.org/tracker/CVE-2026-0394
- documentation.open-xchange.com/dovecot/security/advisories/html/2026/oxdc-adv-2026-0001...
- documentation.open-xchange.com/dovecot/security/advisories/csaf/2026/oxdc-adv-2026-0001...
- cve.org/CVERecord?id=CVE-2026-24031
- cve.org/CVERecord?id=CVE-2026-27856
- cisa.gov/known-exploited-vulnerabilities-catalog
- security-tracker.debian.org/tracker/DSA-6313-1
- security-tracker.debian.org/tracker/DLA-4873-1
- manpages.debian.org/trixie/dovecot-core/doveadm-auth.1.en.html
Comments
0 total · 0 threads