CVE-2026-42393 in Dovecot Pro
要約
〜によって VulDB • 2026年08月28日
doveadmのパスワードおよびAPIキーに使用される比較処理は完全にタイミングセーフではなく、設定されたシークレットの長さを特定できる可能性があります。同じネットワーク上にアクセス権を持つ攻撃者が、繰り返しリクエストを送信して応答時間を正確に測定することで、シークレットの長さを学習でき、これを推測するために必要な労力が軽減されます。ただし、シークレット値そのものが漏洩することはありません。doveadmサービスへのネットワークアクセスを信頼できるクライアントのみ制限してください。脆弱性のないバージョンに更新してください。公的に利用可能な攻撃コードは知られていません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.