A Dovecot, a széles körben használt nyílt forráskódú IMAP- és POP3-szerver, amely számos Linux és Unix-szerű rendszeren biztosít levelezési hozzáférést, kiadta a 2.4.5-ös verziót. Az új kiadás erősen a biztonságra koncentrál: 19 CVE sebezhetőséget javít, emellett hasznos fejlesztéseket hoz a keresés, a titkosítás és az adminisztráció területén.

A kiadás olyan problémákat javít, amelyek hitelesítés megkerüléséhez, szolgáltatásmegtagadási támadásokhoz, információszivárgáshoz, e-mail hamisításhoz és összeomlásokhoz vezethettek.

A javítások között szerepelnek hibák az SMTP üzenetkezelésben, az OAuth2 hitelesítési ellenőrzésekben, a dsync-alapú postafiók-szinkronizációban és az IMAP tömörítésben. Néhány hiba lehetővé tette, hogy speciálisan összeállított kérések túl sok CPU-t vagy memóriát fogyasszanak, ami szolgáltatásmegtagadási támadásokhoz vezethetett.

Az egyik kiemelt probléma miatt a hibásan kezelt SMTP üzenetadatokat úgy értelmezhette a rendszer, hogy az hamisított e-mailekhez vezetett. Egy másik hiba a megbízható hálózatokhoz kötött hitelesítést érintette: bizonyos továbbított mezőket úgy lehetett kihasználni, hogy megkerüljék a szokásos hitelesítési ellenőrzéseket.

A Dovecot 2.4.5 javítja az IMAP tömörítés biztonságát is: megszüntet egy, a tömörített forgalomhoz kapcsolódó információszivárgást, és további olyan problémákat is orvosol, amelyek túlzott memóriahasználatot vagy összeomlást okozhattak.

A biztonsági javításokon túl ez a frissítés kifejezéskeresést ad a Flatcurve full-text search backendhez. Korábban több szóra keresve egy üzenet akkor is találat lehetett, ha ezek a szavak csak valahol, egymástól függetlenül szerepeltek benne.

A kifejezéskeresés támogatásával a Dovecot most már jobban meg tudja különböztetni azokat az eseteket, amikor a szavak valóban együtt, kifejezésként fordulnak elő, így kevesebb lesz a téves találat.

A kiadás támogatást ad az ML-KEM-512, ML-KEM-768 és ML-KEM-1024 poszt-kvantum kriptográfiai algoritmusokhoz is, ha a Dovecotot OpenSSL 3-mal fordítják.

Az adminisztrátorok egy új doveadm auth cache status parancsot is kapnak, amellyel ellenőrizhetik a hitelesítési cache statisztikáit, és lehetőségük van ezeknek a számlálóknak a nullázására is. Emellett a konfiguráció kezelése is fejlődött: új heredoc szintaxis jelent meg a több soros értékekhez, ami megkönnyíti a nagyobb konfigurációs blokkok kezelését.

Végül a Dovecot több régi, nagyrészt nem használt komponenst eltávolított, köztük az OTP hitelesítési mechanizmust és az {OTP} jelsémát.

További részletekért nézd meg a kiadási bejelentést, vagy böngészd a projekt GitHub changelogját.

A Dovecot 2.4.5 előre elkészített csomagként elérhető a projekt tárolójából, valamint hivatalos Docker image formájában is. Akik korábbi 2.x verzióról végeznek verziófrissítést, érdemes átnézniük a 2.3-ról 2.4-re váltást bemutató dokumentációt, különösen a konfigurációs változásokra és a 2.4-es ághoz tartozó kísérleti funkciókra vonatkozó részeket.