CVE-2026-27855 描述了 OX Dovecot Pro 中存在的重放攻击漏洞。该漏洞允许攻击者在特定条件下重放 OTP 凭据。成功利用此漏洞可能导致未经授权的访问。受影响的版本范围为 0–2.3.0。建议用户采取安全措施，例如使用 SCRAM 协议或确保通信安全。目前没有官方补丁可用。
CVE-2026-27855 影响 Dovecot Pro，揭示了 OTP（一次性密码）身份验证中的重放攻击漏洞。当身份验证缓存启用且 passdb 中用户名被修改时，会发生此漏洞。在这些条件下，OTP 凭据可能会被缓存，从而允许重用以前有效的 OTP 响应。能够观察 OTP 交换的攻击者可能能够以受影响的用户身份登录。根据 CVSS，此漏洞的严重程度评分为 6.8。
利用此漏洞需要攻击者能够观察 OTP 交换过程，并且身份验证缓存已启用，以及 passdb 中用户名已修改。缺乏公开已知的漏洞并不能降低应用推荐缓解措施的重要性，因为漏洞利用的创建始终是一种可能性。如果通信未加密，则漏洞会加剧，从而更容易拦截 OTP 交换。
漏洞利用状态
EPSS
0.04% (12% 百分位)
CISA SSVC
为了减轻此风险，强烈建议使用 SCRAM 协议代替 OTP，尤其是在身份验证通过不安全的连接进行时。通过加密（TLS/SSL）保护通信至关重要。或者，请考虑迁移到更安全的身份验证方法，例如 OAuth2 或 SCRAM。一旦可用，更新到 Dovecot Pro 的最新版本对于解决此漏洞至关重要。在此期间，监控身份验证日志可以帮助检测可疑活动。
确保使用 SCRAM 或 OAUTH2 保护通信。如果无法做到，请确保通信安全。或者，禁用身份验证缓存或避免在密码数据库中更改用户名。
漏洞分析和关键警报直接发送到您的邮箱。
OTP（一次性密码）是一种一次性安全代码。漏洞在于在某些条件下，OTP 响应可能会被缓存和重用，从而允许攻击者以用户身份登录。
如果您正在使用启用身份验证缓存的 Dovecot Pro 并且修改了 passdb 中的用户名，则很可能受到影响。
在发布更新之前，最佳解决方案是禁用身份验证缓存或通过安全连接使用 SCRAM 协议。
CVSS 6.8 表示需要注意和缓解措施的中高危漏洞。
请参阅 Dovecot Pro 官方文档和行业安全资源以获取更新和更多详细信息。
CVSS 向量