CVE-2026-24031 Dovecot 身份验证绕过漏洞

CVE-2026-24031 影响 Dovecot Pro，一款流行的邮件服务器。该漏洞存在于其基于 SQL 的身份验证系统中。如果管理员清除了 authusernamechars 设置，则可以绕过身份验证，从而允许对邮件帐户进行未经授权的访问以及用户枚举。这意味着攻击者可能能够访问机密电子邮件、破坏用户隐私并获取有关 Dovecot 用户数据库结构的的信息。该漏洞的严重程度在 CVSS 规模上评为 7.7，表明存在重大风险。虽然没有公开可用的漏洞利用程序，但如果 authusernamechars 设置已被修改，则存在被利用的可能性。

Organizations utilizing Dovecot for email authentication, particularly those with legacy configurations or systems where the authusernamechars setting has been inadvertently cleared, are at significant risk. Shared hosting environments where multiple users share the same Dovecot instance are also particularly vulnerable, as a compromise of one user could potentially lead to access for others.

• linux / server:

journalctl -u dovecot -g 'auth_username_chars' | grep -i 'error' -i 'warning'

• linux / server:

ps aux | grep dovecot | grep -i 'auth_username_chars'

• generic web: Use curl to test the authentication endpoint and observe any unusual behavior or error messages related to SQL queries.

1. 2026-03-27Disclosure

   disclosure

1. 已保留2026-01-20
2. 发布日期2026-03-27
3. EPSS 更新日期2026-04-03

针对 CVE-2026-24031 的主要缓解措施是避免清除 authusernamechars 设置。此设置定义了用户名中允许使用的字符，删除它会严重削弱系统的安全性。如果由于特定原因必须清除，则强烈建议将 Dovecot Pro 升级到最新可用版本，因为开发人员可能已实施了修复程序。监控 Dovecot 日志以查找可疑的身份验证尝试也有助于检测和防止攻击。彻底审查 Dovecot 的配置对于服务器安全至关重要。