Dovecot SQL-gebaseerde authenticatie kan worden omzeild wanneer auth_username_chars wordt gewist door de beheerder. Dit beveiligingslek maakt het mogelijk om de authenticatie voor elke gebruiker te omzeilen en gebruikers te enumereren. Wis auth_u niet.

CVE-2026-24031 treft Dovecot Pro, een populaire mailserver. De kwetsbaarheid zit in het SQL-gebaseerde authenticatiesysteem. Als een beheerder de instelling authusernamechars wist, kan authenticatie worden omzeild, waardoor ongeautoriseerde toegang tot e-mailaccounts en gebruikersinventarisatie mogelijk is. Dit betekent dat een aanvaller mogelijk vertrouwelijke e-mails kan openen, de privacy van gebruikers kan inbreken en informatie over de structuur van de Dovecot-gebruikersdatabase kan verkrijgen. De ernst van deze kwetsbaarheid wordt beoordeeld als 7,7 op de CVSS-schaal, wat een aanzienlijk risico aangeeft. Hoewel er geen publiekelijk beschikbare exploits bekend zijn, is de mogelijkheid van exploitatie reëel als de instelling authusernamechars is gewijzigd.

Organizations utilizing Dovecot for email authentication, particularly those with legacy configurations or systems where the authusernamechars setting has been inadvertently cleared, are at significant risk. Shared hosting environments where multiple users share the same Dovecot instance are also particularly vulnerable, as a compromise of one user could potentially lead to access for others.

• linux / server:

journalctl -u dovecot -g 'auth_username_chars' | grep -i 'error' -i 'warning'

• linux / server:

ps aux | grep dovecot | grep -i 'auth_username_chars'

• generic web: Use curl to test the authentication endpoint and observe any unusual behavior or error messages related to SQL queries.

1. 2026-03-27Disclosure

   disclosure

1. Gereserveerd2026-01-20
2. Gepubliceerd2026-03-27
3. EPSS bijgewerkt2026-04-03

De belangrijkste mitigatie voor CVE-2026-24031 is het vermijden van het wissen van de instelling authusernamechars. Deze instelling definieert de toegestane tekens in gebruikersnamen en het verwijderen ervan verzwakt de beveiliging van het systeem aanzienlijk. Als het wissen om specifieke redenen onvermijdelijk is, wordt het sterk aanbevolen om Dovecot Pro te upgraden naar de nieuwste beschikbare versie, aangezien ontwikkelaars mogelijk correcties hebben geïmplementeerd. Het monitoren van Dovecot-logboeken op verdachte authenticatiepogingen kan ook helpen bij het detecteren en voorkomen van aanvallen. Een grondige beoordeling van de Dovecot-configuratie is cruciaal voor de serversbeveiliging.