DovecotのSQLベース認証は、管理者がauth_username_charsをクリアするとバイパスされる可能性があります。この脆弱性により、任意のユーザーの認証バイパスとユーザー列挙が可能になります。auth_uをクリアしないでください。

CVE-2026-24031 は Dovecot Pro に影響を与えます。これは、一般的なメールサーバーです。この脆弱性は、SQL ベースの認証システムに存在します。管理者が authusernamechars 設定をクリアすると、認証を回避でき、メールアカウントへの不正アクセスやユーザー列挙が可能になります。つまり、攻撃者は機密の電子メールにアクセスしたり、ユーザーのプライバシーを侵害したり、Dovecot ユーザーデータベースの構造に関する情報を取得したりする可能性があります。この脆弱性の深刻度は CVSS スケールで 7.7 と評価されており、重大なリスクを示しています。公開されているエクスプロイトはまだありませんが、authusernamechars 設定が変更されている場合は、悪用される可能性があります。

Organizations utilizing Dovecot for email authentication, particularly those with legacy configurations or systems where the authusernamechars setting has been inadvertently cleared, are at significant risk. Shared hosting environments where multiple users share the same Dovecot instance are also particularly vulnerable, as a compromise of one user could potentially lead to access for others.

• linux / server:

journalctl -u dovecot -g 'auth_username_chars' | grep -i 'error' -i 'warning'

• linux / server:

ps aux | grep dovecot | grep -i 'auth_username_chars'

• generic web: Use curl to test the authentication endpoint and observe any unusual behavior or error messages related to SQL queries.

1. 2026-03-27Disclosure

   disclosure

1. 予約済み2026-01-20
2. 公開日2026-03-27
3. EPSS 更新日2026-04-03

CVE-2026-24031 の主な軽減策は、authusernamechars 設定をクリアしないことです。この設定は、ユーザー名で許可される文字を定義し、削除するとシステムのセキュリティが大幅に低下します。クリアが特定の理由で不可欠な場合は、Dovecot Pro を最新バージョンにアップグレードすることを強くお勧めします。開発者が修正を実装している可能性があるためです。Dovecot ログを監視して、疑わしい認証試行を検出して防止することも役立ちます。Dovecot の構成を徹底的にレビューすることが、サーバーのセキュリティにとって重要です。