Популярный почтовый сервер с открытым исходным кодом Dovecot, обеспечивающий доступ к электронной почте на множестве систем Linux и Unix-подобных платформах, выпустил версию 2.4.5. Основное внимание в этом обновлении уделено безопасности: разработчики устранили 19 уязвимостей CVE, а также внесли ряд полезных улучшений в механизмы поиска, шифрования и администрирования.
Новый релиз исправляет проблемы, которые могли приводить к обходу аутентификации, атакам типа «отказ в обслуживании», утечкам информации, подделке писем и аварийному завершению работы. Среди устраненных недочетов — уязвимости при обработке сообщений SMTP, в проверках аутентификации OAuth2, синхронизации почтовых ящиков через dsync и при сжатии IMAP. Отдельные ошибки позволяли специально сформированным запросам чрезмерно нагружать процессор или память, создавая потенциальные векторы для DoS-атак.
Устранение уязвимостей и повышение безопасности
Одна из заметных уязвимостей была связана с некорректной обработкой данных сообщений SMTP, что могло интерпретироваться способом, ведущим к подделке электронной почты. Другая проблема затрагивала аутентификацию в доверенных сетях, где злоумышленники могли злоупотребить определенными пересылаемыми полями для пропуска стандартных проверок подлинности. В Dovecot 2.4.5 также улучшена безопасность IMAP-сжатия за счет устранения утечки информации, связанной со сжатым трафиком, и исправления других ошибок, вызывавших чрезмерное потребление памяти или падения системы.
Новые функции поиска и криптография
Помимо исправления ошибок безопасности, обновление добавляет поддержку поиска по фразам для полнотекстового бэкенда Flatcurve. Раньше поиск нескольких слов мог выдать сообщение просто потому, что все эти слова присутствовали в нем. Теперь сервер точнее различает случаи, когда слова действительно идут вместе как фраза, что сокращает число ложноположительных результатов.
Кроме того, при сборке с OpenSSL 3 появилась поддержка постквантовых криптографических алгоритмов ML-KEM-512, ML-KEM-768 и ML-KEM-1024. Администраторы получили новую команду doveadm auth cache status для проверки статистики кэша аутентификации, а также опцию для сброса этих счетчиков.
Изменения в конфигурации и удаление устаревших компонентов
Разработчики улучшили обработку конфигураций, добавив новый синтаксис heredoc для многострочных значений, что упрощает управление крупными блоками настроек. Одновременно с этим из проекта удалили несколько устаревших компонентов, включая механизм аутентификации OTP и схему паролей {OTP}.
Почтовый сервер Dovecot 2.4.5 доступен в виде предварительно собранных пакетов из репозитория проекта, а также в качестве официальных образов Docker. Пользователям, обновляющимся с более ранних версий ветки 2.x, рекомендуется изучить документацию по переходу с 2.3 на 2.4, особенно в части изменений конфигурации и экспериментальных функций.
