4средняя
BDU:2021-03234 (CVE-2021-29157)
Уязвимость почтового сервера Dovecot, связанная с ошибками экранирования полей kid и azp в токенах JWT, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
Опубликовано: 2021-06-25
Описание
Уязвимость почтового сервера Dovecot связана с ошибками экранирования полей kid и azp в токенах JWT. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации
Затрагиваемое ПО и версии
Debian GNU/Linux (9)SUSE Linux Enterprise Server for SAP Applications (15)Debian GNU/Linux (10)SUSE Enterprise Storage (6)SUSE Linux Enterprise High Performance Computing (15-ESPOS)SUSE Linux Enterprise High Performance Computing (15-LTSS)Suse Linux Enterprise Server (15-LTSS)Ubuntu (20.04 LTS)Ubuntu (20.10)SUSE Linux Enterprise Module for Server Applications (15 SP2)SUSE CaaS Platform (4.0)Ubuntu (21.04)Suse Linux Enterprise Server (15 SP1-BCL)Suse Linux Enterprise Server (15 SP1-LTSS)SUSE Linux Enterprise High Performance Computing (15 SP1-LTSS)SUSE Linux Enterprise High Performance Computing (15 SP1-ESPOS)SUSE Manager Proxy (4.0)SUSE Manager Retail Branch Server (4.0)SUSE Manager Server (4.0)Dovecot (до 2.3.14.1)SUSE Linux Enterprise Module for Server Applications (15 SP3)OpenSUSE Leap (15.3 SLE Imports)Альт 8 СПОСОН ОСнова Оnyx (до 2.5)
Способ устранения
Использование рекомендаций:
Для Dovecot:
https://dovecot.org/pipermail/dovecot-news/2021-June/000461.html
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2021-29157
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2021-29157/
Для Ubuntu:
https://ubuntu.com/security/notices/USN-4993-1
Для ОСОН Основа:
Обновление программного обеспечения dovecot до версии 1:2.3.16+dfsg1-3
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Оценка CVSS
| Балл | 4 — средняя опасность |
Источники и патчи