Im Mailserver Dovecot und dem ManagedSieve-Paket Pigeonhole stecken eine Sicherheitslücke, die ein Update auf die Versionen 2.3.7.2 und 2.2.36.4 behebt. Die Lücke ermöglicht unter Umständen das Auslesen von Daten und das Ausführen von Code.
Die Dovecot-Entwickler beschreiben die Lücke in ihrem Advisory als Heap-Buffer-Overflow. Der Speicherüberlauf findet beim Abarbeiten von Strings im IMAP- und Sieve-Parser statt. Das Problem trete auf, wenn ein Null-Byte in Strings mit Anführungszeichen verarbeitet werde. Der Speicherüberlauf erlaube prinzipiell das Schreiben von bis zu 8096 Bytes in der Pre-Login-Phase, also vor der Authentifizierung am Mailserver, und 65536 Bytes in der Past-Login-Phase. Das reiche einem versierten Angreifer aus, um Daten auszulesen oder Remote-Code auszuführen, heißt es im Advisory. Da es dabei nicht notwendigerweise zum Chrash komme, sei ein solcher Angriff nur schwer erkennbar, teilen die Entwickler mit. Es gebe keinen Workaround, nur das Einspielen der gepatchten Versionen sei hilfreich. Bei Pigeonhole ist Version 0.5.7.2 gepatcht.
