Dovecot SQL-basierte Authentifizierung kann umgangen werden, wenn auth_username_chars vom Administrator gelöscht wird. Diese Schwachstelle ermöglicht das Umgehen der Authentifizierung für jeden Benutzer und die Benutzeraufzählung. Löschen Sie auth_u nicht.

CVE-2026-24031 betrifft Dovecot Pro, einen beliebten Mailserver. Die Schwachstelle liegt in seinem SQL-basierten Authentifizierungssystem. Wenn ein Administrator die Einstellung authusernamechars löscht, kann die Authentifizierung umgangen werden, was unbefugten Zugriff auf E-Mail-Konten und die Benutzeraufzählung ermöglicht. Dies bedeutet, dass ein Angreifer potenziell vertrauliche E-Mails abrufen, die Privatsphäre von Benutzern gefährden und Informationen über die Struktur der Benutzerdatenbank von Dovecot erhalten könnte. Die Schwere dieser Schwachstelle wird mit 7,7 auf der CVSS-Skala bewertet, was ein erhebliches Risiko anzeigt. Obwohl keine öffentlich verfügbaren Exploits bekannt sind, ist die Möglichkeit einer Ausnutzung real, wenn die Einstellung authusernamechars geändert wurde.

Organizations utilizing Dovecot for email authentication, particularly those with legacy configurations or systems where the authusernamechars setting has been inadvertently cleared, are at significant risk. Shared hosting environments where multiple users share the same Dovecot instance are also particularly vulnerable, as a compromise of one user could potentially lead to access for others.

• linux / server:

journalctl -u dovecot -g 'auth_username_chars' | grep -i 'error' -i 'warning'

• linux / server:

ps aux | grep dovecot | grep -i 'auth_username_chars'

• generic web: Use curl to test the authentication endpoint and observe any unusual behavior or error messages related to SQL queries.

1. 2026-03-27Disclosure

   disclosure

1. Reserviert2026-01-20
2. Veröffentlicht2026-03-27
3. EPSS aktualisiert2026-04-03

Die primäre Abschwächung für CVE-2026-24031 ist es, zu vermeiden, die Einstellung authusernamechars zu löschen. Diese Einstellung definiert die zulässigen Zeichen in Benutzernamen und deren Entfernung schwächt die Sicherheit des Systems erheblich. Wenn das Löschen aus bestimmten Gründen unvermeidlich ist, wird dringend empfohlen, Dovecot Pro auf die neueste verfügbare Version zu aktualisieren, da die Entwickler möglicherweise Korrekturen implementiert haben. Das Überwachen der Dovecot-Protokolle auf verdächtige Authentifizierungsversuche kann ebenfalls dazu beitragen, Angriffe zu erkennen und zu verhindern. Eine gründliche Überprüfung der Dovecot-Konfiguration ist entscheidend für die Serversicherheit.