डोवकोट (Dovecot) ओटिपी (OTP) प्रमाणीकरण विशिष्ट परिस्थितियों में रीप्ले अटैक (replay attack) के प्रति संवेदनशील है। यदि ऑथ कैश (auth cache) सक्षम है, और पासडीबी (passdb) में उपयोगकर्ता नाम बदल दिया जाता है, तो ओटिपी (OTP) क्रेडेंशियल्स (credentials) को कैश (cache) किया जा सकता है ताकि वही ओटिपी (OTP) रीप्ले (reply) मान्य हो।

CVE-2026-27855 Dovecot Pro को प्रभावित करता है, OTP (एक बार का पासवर्ड) प्रमाणीकरण में एक रीप्ले अटैक भेद्यता को उजागर करता है। यह भेद्यता तब होती है जब प्रमाणीकरण कैश सक्षम होता है और passdb में उपयोगकर्ता नाम संशोधित किया जाता है। इन परिस्थितियों में, OTP क्रेडेंशियल को कैश किया जा सकता है, जिससे पहले मान्य OTP प्रतिक्रिया का पुन: उपयोग किया जा सकता है। OTP एक्सचेंज को देखने में सक्षम एक हमलावर प्रभावित उपयोगकर्ता के रूप में लॉग इन कर सकता है। CVSS के अनुसार इस भेद्यता की गंभीरता को 6.8 के रूप में रेट किया गया है।

1. आरक्षित2026-02-24
2. प्रकाशित2026-03-27
3. EPSS अद्यतन2026-04-03

इस जोखिम को कम करने के लिए, OTP के बजाय SCRAM प्रोटोकॉल का उपयोग करने की पुरजोर अनुशंसा की जाती है, खासकर यदि प्रमाणीकरण असुरक्षित कनेक्शन पर होता है। एन्क्रिप्शन (TLS/SSL) के माध्यम से संचार को सुरक्षित करना महत्वपूर्ण है। वैकल्पिक रूप से, OAuth2 या SCRAM जैसे अधिक सुरक्षित प्रमाणीकरण विधियों में माइग्रेट करने पर विचार करें। उपलब्ध होते ही Dovecot Pro के नवीनतम संस्करण में अपडेट करना इस भेद्यता को संबोधित करने के लिए आवश्यक है। इस बीच, प्रमाणीकरण लॉग की निगरानी संदिग्ध गतिविधि का पता लगाने में मदद कर सकती है।