CVE-2026-33605 в Debian: отказ в обслуживании ManageSieve и статус исправлений

CVE: CVE-2026-33605
Продукт: Debian
Дата публикации: 28.08.2026
Критичность: HIGH
CVSS: 7.5 (3.1)
EPSS: 0,38%; процентиль 30,51%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

Уязвимость в пакете dovecot для Debian позволяет неавторизованному атакующему вызвать сбой процесса ManageSieve. В зависимости от режима работы это может привести к массовому разрыву соединений и отказу в обслуживании управления Sieve-скриптами. Статья разбирает статус исправлений в дистрибутивах Debian и практические шаги для администраторов.

Основные характеристики​

Риск представляет собой отказ в обслуживании (DoS) сервиса управления почтовыми фильтрами. Атака не требует аутентификации и может быть проведена удаленно.

• Тип ошибки: CWE-400 (Uncontrolled Resource Consumption).
  
• CVSS 3.1: 7.5 (HIGH). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H.
  
• Условия атаки: Сетевой доступ к порту ManageSieve, отсутствие аутентификации.
  
• Эксплуатация: Публичные эксплойты не обнаружены.
  
• EPSS: 0,38% (процентиль 30,51%).
  

Какие продукты и версии затронуты​

В Debian уязвимость затрагивает пакет dovecot. Статус исправлений различается по релизам:

• bookworm: Статус open, исправление отсутствует. Текущая версия: 1:2.3.19.1+dfsg1-2.1+deb12u6.
  
• forky: Статус open, исправление отсутствует. Текущая версия: 1:2.4.4+dfsg1-2.
  
• trixie: Статус open, исправление отсутствует. Текущая версия: 1:2.4.1+dfsg1-6+deb13u6.
  
• sid (unstable): Статус resolved, исправлена в версии 1:2.4.5+dfsg1-1.
  

Причина уязвимости​

Причина ошибки заключается в недостаточной обработке входных данных в процессе managesieve-login. Сервер некорректно обрабатывает специфическую некорректную команду, полученную до этапа аутентификации.

Это приводит к необработанному исключению или сбою процесса. В режиме высокой безопасности (high-security) сбой локализуется на уровне одного соединения, однако в режиме высокой производительности (high-performance) процесс может завершиться, разрывая все активные сессии, которые он обслуживал.

Как работает атака​

Атакующий устанавливает TCP-соединение с сервисом ManageSieve. До отправки данных аутентификации он передает серверу короткую некорректную команду.

Получив этот пакет, процесс managesieve-login вступает в состояние, ведущее к его аварийному завершению. В режиме high-performance это вызывает массовый отказ в обслуживании для всех пользователей, чьи сессии обрабатывались этим процессом. Повторение атаки позволяет поддерживать состояние DoS.

Условия успешной эксплуатации​

Для успешной эксплуатации необходимо:

• Сетевой доступ к порту, на котором работает сервис ManageSieve.
  
• Отсутствие механизмов, блокирующих неавторизованный трафик до этапа аутентификации.
  
• Сервер должен работать в режиме, где сбой процесса влияет на другие соединения (high-performance), либо атакующий готов к локальному DoS (high-security).
  

Возможный сценарий атаки​

Атакующий сканирует сеть в поисках открытых портов ManageSieve. Выбрав цель, он отправляет специально сформированный пакет с некорректной командой.

Сервер обрабатывает пакет, и процесс managesieve-login аварийно завершается. Пользователи, пытающиеся управлять своими Sieve-скриптами, получают ошибки соединения.

Атакующий может повторять отправку пакетов, чтобы поддерживать сервис в нерабочем состоянии.

Есть ли публичный эксплойт​

Согласно официальным источникам, публичные эксплойты для CVE-2026-33605 не обнаружены. Это не означает, что эксплойты не существуют, но подтвержденных в открытых источниках инструментов атаки на данный момент нет.

Признаки эксплуатации​

Специфичных индикаторов компрометации (IOC) для этой уязвимости в источниках не указано. Общие признаки, которые могут указывать на попытку атаки, включают:

• Резкое увеличение количества разрывов соединений в логах Dovecot.
  
• Записи о падении процесса managesieve-login в системных журналах.
  
• Пиковые значения в мониторинге отказов в обслуживании на порту ManageSieve.
  

Как обнаружить атаку​

Для обнаружения попыток эксплуатации следует анализировать логи Dovecot. Ищите сообщения об ошибках в процессе managesieve-login и частые разрывы соединений.

Также полезно настроить алерты на аномальную активность в сети на порту ManageSieve, особенно если сервис не должен быть доступен из внешних сетей.

Как проверить свою версию​

Проверить установленную версию пакета dovecot в Debian можно с помощью следующих команд:

dpkg-query -W -f='${Package} ${Version}\n' dovecot
apt-cache policy dovecot

Сравните полученную версию с данными из Debian Security Tracker.

Исправление​

Основным способом устранения уязвимости является обновление пакета dovecot до исправленной версии.

Для релиза sid доступна версия 1:2.4.5+dfsg1-1. Для остальных релизов (bookworm, forky, trixie) исправления пока нет, статус open.

Администраторам следует отслеживать обновления в Debian Security Tracker и устанавливать патчи по мере их выпуска.

Временные меры защиты​

До выпуска официального исправления рекомендуется ограничить сетевой доступ к сервису ManageSieve. Ограничьте доступ только для доверенных клиентов через файрвол или настройки сети.

Это снизит вероятность успешной атаки со стороны внешних злоумышленников.

Как проверить устранение уязвимости​

После обновления пакета проверьте, что версия dovecot соответствует исправленной. Используйте команду dpkg-query -W -f='${Package} ${Version}\n' dovecot.

Также убедитесь, что сервис работает корректно и не содержит ошибок в логах после перезапуска.

Вывод​

CVE-2026-33605 представляет собой риск отказа в обслуживании для пользователей Dovecot в Debian. Хотя публичные эксплойты отсутствуют, атакующие могут использовать эту уязвимость для нарушения работы сервиса.

Администраторам следует ограничить доступ к ManageSieve и ждать официального исправления для своих релизов.

Официальные источники​

1. NVD — CVE-2026-33605
   
2. Debian Security Tracker — CVE-2026-33605
   
3. FIRST EPSS — CVE-2026-33605
   

История обновлений статьи​

• 02.09.2026 — Опубликована первая версия материала.