Dovecot 2.4.5: Оновлення для безпеки та покращення

Dovecot, популярний open-source IMAP та POP3 сервер, випустив версію 2.4.5. Це оновлення зосереджено на безпеці, виправивши 19 CVEs. Також, додали корисні покращення для пошуку, шифрування та адміністрування.

Виправлення вразливостей безпеки

Це оновлення усуває проблеми, які могли призвести до обходу автентифікації, атак відмови в обслуговуванні, витоків інформації, підробки електронних листів та аварій.

Зокрема, виправлені недоліки в обробці SMTP повідомлень, перевірках автентифікації OAuth2, синхронізації поштових скриньок через dsync та стисненні IMAP. Деякі помилки могли дозволити спеціально створеним запитам споживати надмірні ресурси ЦП або пам’яті, створюючи потенційні вектори для атак відмови в обслуговуванні.

Особливою проблемою була можливість обробки даних SMTP таким чином, що це призводило до підроблених електронних листів. Інша проблема стосувалася автентифікації в довірених мережах, де певні переадресовані поля могли бути зловживані для обходу стандартних перевірок автентифікації.

Покращення в стисненні IMAP

Dovecot 2.4.5 покращує безпеку стиснення IMAP, усуваючи витоки інформації, пов’язані зі стисненим трафіком, та виправляючи додаткові проблеми, які могли викликати надмірне використання пам’яті або аварії.

Нові можливості для пошуку

Оновлення також вводить підтримку пошуку за фразами для бекенду повнотекстового пошуку Flatcurve. Раніше пошук кількох слів міг повертати результати лише через те, що ці слова з’являлися в повідомленні.

З підтримкою пошуку за фразами Dovecot тепер краще розрізняє випадки, коли слова дійсно з’являються разом, зменшуючи кількість хибнопозитивних результатів.

Підтримка пост-квантових алгоритмів

Випуск також додає підтримку пост-квантових криптографічних алгоритмів ML-KEM-512, ML-KEM-768 та ML-KEM-1024, якщо Dovecot побудований з OpenSSL 3.

Нові команди для адміністраторів

Адміністратори отримують нову команду doveadm auth cache status для перевірки статистики кешу автентифікації, а також опцію для скидання цих лічильників. Крім того, обробка конфігурації покращена завдяки новому синтаксису heredoc для багаторядкових значень, що спрощує управління великими конфігураційними блоками.

Скасування застарілих компонентів

На завершення, Dovecot видалив кілька старих та в основному не використовуваних компонентів, включаючи свій механізм OTP автентифікації та схему паролів {OTP}.

Додаткову інформацію можна знайти в оголошенні про випуск на офіційному сайті Dovecot або переглянути зміни в GitHub.

Dovecot 2.4.5 доступний як попередньо зібрані пакунки з репозиторію проекту та як офіційні Docker образи. Користувачам, які оновлюють з попередніх версій 2.x, слід ознайомитися з документацією з оновлення, особливо щодо змін конфігурації та експериментальних функцій у гілці 2.4.