Dovecot, широко используемый сервер IMAP и POP3 с открытым исходным кодом, на котором работает доступ к почте во многих Linux- и Unix-подобных системах, выпустил версию 2.4.5. Основное внимание в релизе уделено безопасности: закрыли 19 CVE, а также добавили ряд полезных улучшений в поиске, шифровании и администрировании.

Релиз устраняет проблемы, которые могли приводить к обходу аутентификации, отказам в обслуживании, утечкам информации, подделке писем и аварийным завершениям.

Среди них недостатки в обработке SMTP-сообщений, проверках аутентификации OAuth2, синхронизации почтовых ящиков через dsync и сжатии IMAP. Некоторые ошибки позволяли специально сформированным запросам потреблять слишком много процессорного времени или памяти, что создавало потенциальные векторы отказа в обслуживании.

Одна из проблем позволяла так интерпретировать некорректно обработанные данные SMTP-сообщений, что это приводило к подделке писем. Другая затрагивала аутентификацию по доверенной сети: определённые пересылаемые поля можно было использовать, чтобы пропустить обычные проверки аутентификации.

Dovecot 2.4.5 также повышает безопасность сжатия IMAP: устранена утечка информации, связанная со сжатым трафиком, и исправлены дополнительные проблемы, способные приводить к чрезмерному расходу памяти или аварийным завершениям.

Помимо безопасности, в обновлении появился поиск по фразам для бэкенда полнотекстового поиска Flatcurve. Раньше поиск по нескольким словам мог найти сообщение просто потому, что все эти слова встречались где-то в его тексте.

Благодаря поддержке фразового поиска Dovecot теперь точнее различает случаи, когда слова действительно идут вместе как фраза, и снижает число ложных срабатываний.

В релизе также добавлена поддержка постквантовых криптографических алгоритмов ML-KEM-512, ML-KEM-768 и ML-KEM-1024 при сборке Dovecot с OpenSSL 3.

Администраторы получили новую команду doveadm auth cache status для просмотра статистики кэша аутентификации, а также опцию сброса этих счётчиков. Также улучшена работа с конфигурацией: появился синтаксис heredoc для многострочных значений, что упрощает управление большими блоками настроек.

Наконец, Dovecot удалил несколько старых и в основном неиспользуемых компонентов, включая механизм аутентификации OTP и схему паролей {OTP}.

Подробнее можно узнать из анонса релиза или из списка изменений на GitHub.

Dovecot 2.4.5 доступен в виде готовых пакетов из репозитория проекта и в виде официальных Docker-образов. Пользователям, переходящим с более ранних версий ветки 2.x, стоит ознакомиться с документацией по обновлению с 2.3 на 2.4, особенно в части изменений конфигурации и экспериментальных возможностей ветки 2.4.