PT-2021-3385 · Dovecot+9 · Dovecot+9
Damian Poddebniak
+1
·
Publicado
2021-06-21
·
Atualizado
2025-01-30
·
CVE-2021-33515
CVSS v2.0
5.8
Média
| Vetor | AV:N/AC:M/Au:N/C:P/I:P/A:N |
Nome do software vulnerável e versões afetadas
Versões do Dovecot anteriores à 2.3.15
Descrição
O problema está relacionado ao serviço de envio do Dovecot, que permite a injeção de comandos STARTTLS na lib-smtp. Isso pode levar ao redirecionamento de informações confidenciais para um endereço controlado pelo invasor. A vulnerabilidade também está associada à neutralização incorreta de elementos especiais na saída usada pelo componente de entrada, permitindo potencialmente que um invasor remoto divulgue as credenciais do usuário.
Recomendações
Para versões anteriores à 2.3.15, atualize para a versão 2.3.15 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao serviço de envio até que um patch seja aplicado. Evite usar o comando STARTTLS no lib-smtp até que o problema seja resolvido.
Correção
Command Injection
Special Elements Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Dovecot
Linuxmint
Red Hat
Rocky Linux
Suse
Ubuntu