نشرت Open-Xchange، الشركة المطوّرة لـ Dovecot، في أغسطس 2026 النشرة OXDC-ADV-2026-0003 بتصنيف خطورة إجمالي "حرجة". وأصدرت ديبيان الإصلاحات لديبيان 13 (trixie) في 28 سبتمبر 2026 ضمن DSA-6526-1 (25 ثغرة)، ثم أصدر فريق LTS تحديث ديبيان 12 (bookworm) في 31 أكتوبر 2026 باسم DLA-4873-1 (24 ثغرة). وتذكر ديبيان من آثارها المحتملة: حجب الخدمة، وتهريب SMTP، وكشف المعلومات، وحقن SQL، وتنفيذ تعليمات برمجية عن بُعد، وتجاوز قيود ACL، وانتحال الحسابات.
نظرة سريعة
| البند | التفاصيل |
|---|---|
| الحزمة المصدرية | dovecot (ومن حزمها الثنائية dovecot-core وdovecot-imapd وdovecot-pop3d وdovecot-lmtpd وdovecot-sieve وdovecot-managesieved وdovecot-mysql) |
| ديبيان 13 (trixie) | أُصلحت في 1:2.4.1+dfsg1-6+deb13u7 ضمن DSA-6526-1 |
| ديبيان 12 (bookworm) | أُصلحت في 1:2.3.19.1+dfsg1-2.1+deb12u7 ضمن DLA-4873-1 |
| الخطورة | حرجة (بحسب Open-Xchange؛ درجة CVE-2026-42007 تبلغ 9.1) |
ما هي هذه الثغرات؟
تنفيذ تعليمات برمجية عبر Sieve
CVE-2026-42007 (الدرجة 9.1): يستطيع مستخدم لديه بيانات دخول صحيحة رفع نص Sieve يستخدم الامتداد editheader لإحداث خلل استخدام ذاكرة بعد تحريرها أثناء تسليم البريد. وتقول Open-Xchange إن ذلك قد يوقف عملية التسليم وقد يسمح بتنفيذ تعليمات برمجية ضمن سياقها، والحل الالتفافي الذي تقترحه هو تعطيل editheader. وهناك خلل مرتبط في ManageSieve هو CVE-2026-40013 يتيح لمستخدم مصادَق عليه إحداث كتابة خارج الحدود عبر رقم ضخم داخل النص.
المصادقة والتحكم في الوصول
- CVE-2026-40018 (7.4): حقن SQL عبر الترميز متعدد البايتات، ويمكن الوصول إليه دون تسجيل دخول، في المصادقة المعتمدة على MySQL.
- CVE-2026-73208 (7.4) وCVE-2026-40205 (5.9): قد تُقبل رموز OAuth2 بصلاحيات (scopes) خاطئة أو منقوصة.
- CVE-2026-42008: أي مضيف مدرج كوكيل موثوق يستطيع المصادقة باسم أي مستخدم إذا كانت قاعدة كلمات المرور تقبل حقلًا يسمح بالدخول دون كلمة مرور. والأنظمة التي لا تحدد وكلاء موثوقين غير متأثرة.
- CVE-2026-40204: تجاوز لقيود ACL عبر الإنشاء التلقائي لصناديق البريد.
حجب الخدمة قبل تسجيل الدخول
تحمل كل من CVE-2026-42391 (أمر IMAP ID بعدد هائل من المعاملات) وCVE-2026-33605 (أمر ManageSieve صغير مشوّه) وCVE-2026-27852 (رسالة واردة بترويسات ضخمة) الدرجة 7.5. والأخيرة لا تتطلب من المهاجم سوى القدرة على إرسال بريد إلى أحد المستخدمين.
التهريب وتسرّب المعلومات
CVE-2026-33604: عندما يمرّر Dovecot رسالة (عبر Sieve redirect أو submission relay) قد تتجاوز نهاية سطر مصمَّمة حمايته من تهريب SMTP، فيرى خادم لاحق غير مُصلَح أوامر محقونة. وCVE-2026-40203: مع ضغط IMAP قد تكشف أحجام الاستجابات ما إذا كان جسم رسالة قصيرة يطابق نصًا مخمَّنًا. أما بقية الثغرات فهي في الغالب أخطاء استنزاف موارد تتطلب مصادقة. ويشير متتبّع ديبيان إلى أن CVE-2026-42392 (تسرّب ذاكرة في رسائل خطأ URLFETCH) لا يؤثر في bookworm لأن الشيفرة المعنية أُضيفت في Dovecot 2.4.
تقول Open-Xchange إنه لا توجد ثغرات مستغلة علنًا، ولا توجد أي منها في فهرس CISA للثغرات المستغلة فعليًا (نسخة 30 أكتوبر 2026).
هل أنت متأثر؟
dpkg-query -W -f='${Package} ${Version}\n' 'dovecot-*'
apt policy dovecot-core
sudo doveconf -n | grep -nE 'editheader|trusted_networks|oauth2|mysql|compress'أي إصدار أقدم من 1:2.4.1+dfsg1-6+deb13u7 على trixie أو من 1:2.3.19.1+dfsg1-2.1+deb12u7 على bookworm متأثر.
طريقة التحديث
sudo apt update
sudo apt install --only-upgrade dovecot-core dovecot-imapd dovecot-pop3d dovecot-lmtpd dovecot-sieve dovecot-managesieved dovecot-submissiond dovecot-mysql dovecot-pgsql dovecot-sqlite dovecot-ldap
apt policy dovecot-coreيذكر إعلان bookworm أثرين جانبيين يجدر الانتباه إليهما: إصلاح CVE-2026-40017 يحوّل ملفات strmap الخاصة بفهرسة THREAD إلى صيغة جديدة لا تقرؤها إصدارات Dovecot الأقدم أو غير المُصلَحة، لذا كن حذرًا عند التراجع عن التحديث وحدّث معًا الخوادم التي تتشارك تخزين البريد. كما أصبح IMAP COMPRESS مقصورًا على DEFLATE، وقد يصبح ضغط الجلسات أقل كفاءة بقليل.
هل يلزم إعادة التشغيل؟
لا حاجة إلى إعادة تشغيل الخادم. أعد تشغيل Dovecot لتستخدم كل عمليات الدخول والبريد الشيفرة الجديدة:
sudo systemctl restart dovecot
dovecot --version
sudo systemctl status dovecot --no-pagerالمصادر
- security-tracker.debian.org/tracker/DSA-6526-1
- debian.org/security/2026/dsa-6526
- lists.debian.org/debian-security-announce/2026/msg00439.html
- security-tracker.debian.org/tracker/DLA-4873-1
- lists.debian.org/debian-lts-announce/2026/10/msg00066.html
- security-tracker.debian.org/tracker/CVE-2026-42007
- security-tracker.debian.org/tracker/CVE-2026-42392
- documentation.open-xchange.com/dovecot/security/advisories/html/2026/oxdc-adv-2026-0003...
- documentation.open-xchange.com/dovecot/security/advisories/csaf/2026/oxdc-adv-2026-0003...
- cve.org/CVERecord?id=CVE-2026-42007
- cve.org/CVERecord?id=CVE-2026-42008
- cve.org/CVERecord?id=CVE-2026-33604
- cisa.gov/known-exploited-vulnerabilities-catalog
- packages.debian.org/source/trixie/dovecot
- packages.debian.org/source/bookworm/dovecot
Comments
0 total · 0 threads