CVE-2023-34108

mailcow; Dovecot, Postfix ve diğer açık kaynaklı yazılımlara dayalı, kullanıcı/sunucu yönetimi için modern bir web arayüzü sağlayan bir e-posta sunucusu paketidir. mailcow'da, bir saldırganın kimlik doğrulama işlemi sırasında özel olarak hazırlanmış parolalar kullanarak dahili Dovecot değişkenlerini manipüle etmesine olanak tanıyan bir güvenlik açığı keşfedilmiştir. Sorun, giriş denemeleri sırasında kullanıcı parolalarını doğrulamaktan sorumlu olan `passwd-verify.lua` betiğinin davranışından kaynaklanmaktadır. Başarılı bir girişte betik, başarılı kimlik doğrulamasını belirten "password=<geçerli-parola>" formatında bir yanıt döndürür. Bir saldırgan, sonuna ek anahtar-değer çiftleri eklenmiş bir parola hazırlayarak döndürülen dizeyi manipüle edebilir ve Dovecot'un dahili davranışını etkileyebilir. Örneğin, "123 mail_crypt_save_version=0" parolasının kullanılması, `passwd-verify.lua` betiğinin "password=123 mail_crypt_save_version=0" dizesini döndürmesine neden olur. Sonuç olarak Dovecot bu dizeyi yorumlayacak ve dahili değişkenleri buna göre ayarlayacaktır, bu da istenmeyen sonuçlara yol açacaktır. Bu güvenlik açığı, kendi parolasını belirleme yetkisine sahip kimliği doğrulanmış bir saldırgan tarafından istismar edilebilir. Bu zafiyetin başarıyla istismar edilmesi, kullanıcı hesaplarına yetkisiz erişime, güvenlik kontrollerinin atlatılmasına veya diğer kötü niyetli faaliyetlere yol açabilir. Bu sorun `2023-05a` sürümünde düzeltilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.