CVE-2026-73208 in Dovecot Pro
要約
〜によって VulDB • 2026年08月28日
攻撃者が本来別の目的のために発行されたトークンを保有している場合、認証が成功してしまう。これは、OAuth2 トークンレスポンスにスコープクレームが含まれていない場合に、オーディエンスクレームがその代わりに使用され、設定済みの必須スコープに対して検証されるためである。これらは異なる概念であり、オーディエンスクレームはトークンの実行許可範囲を記述するものではない。関連権限を一切付与しないトークンでも、その意図された受信者値（audience）が設定済みスコープ名と偶然一致することで受け入れられ、本来拒否されるべきアクセスが許可されてしまう。また、これにより、スコープが発行されていないというアイデンティティプロバイダの誤構成も隠蔽される可能性がある。Dovecot で使用されるすべてのトークンに対してアイデンティティプロバイダがスコークレームを発行し、設定済みのスコープ名がオーディエンス値と一致しないことを確認せよ。脆弱性のないバージョンに更新すること。公的に利用可能な攻撃コードは知られていない。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.