CVE-2026-42007 в Debian: use-after-free в Dovecot, уязвимые версии и защита

CVE: CVE-2026-42007
Продукт: Debian
Дата публикации: 28.08.2026
Критичность: CRITICAL
CVSS: 9.1 (3.1)
EPSS: 0,29%; процентиль 21,03%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

Уязвимость CVE-2026-42007 затрагивает пакет dovecot в дистрибутивах Debian. Злоумышленник с валидными учётными данными может использовать Sieve-скрипт с расширением editheader для вызова use-after-free в коде редактирования почты.

Это ведёт к утечке памяти, потенциальному повреждению памяти и выполнению произвольного кода в контексте процесса доставки. В Debian статус исправления различается по релизам: в sid проблема устранена, в bookworm, trixie и forky — открыта. Статья описывает механику ошибки, условия эксплуатации и практические шаги для администраторов.

Основные характеристики​

Уязвимость позволяет аутентифицированному пользователю повредить память процесса доставки почты через специально сформированный Sieve-скрипт. При успешной эксплуатации возможна утечка данных из памяти и выполнение произвольного кода, что критично для почтовых серверов.

• Тип ошибки: CWE-416 (Use After Free) — обращение к памяти после её освобождения.
  
• CVSS 3.1: 9.1 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:H. Высокий балл обусловлен сетевым вектором, низкой сложностью и серьёзным влиянием на доступность.
  
• Условия атаки: Требуется валидная учётная запись. Атака возможна удалённо без взаимодействия пользователя.
  
• Эксплуатация: Публичные эксплойты на момент публикации не зафиксированы.
  
• EPSS: 0,29% (процентиль 21,03%). Вероятность эксплуатации в ближайшие 30 дней оценивается как низкая, но риск остаётся высоким из-за критичности последствий.
  

Какие продукты и версии затронуты​

В Debian уязвимость затрагивает пакет dovecot. Статус исправления зависит от конкретного релиза. Ниже приведены данные из Debian Security Tracker.

• bookworm: Статус open. Уязвимая версия: 1:2.3.19.1+dfsg1-2.1+deb12u6. Исправление не назначено.
  
• trixie: Статус open. Уязвимая версия: 1:2.4.1+dfsg1-6+deb13u6. Исправление не назначено.
  
• forky: Статус open. Уязвимая версия: 1:2.4.4+dfsg1-2. Исправление не назначено.
  
• sid: Статус resolved. Исправленная версия: 1:2.4.5+dfsg1-1. Текущая версия в репозитории: 1:2.4.5+dfsg1-2.
  

Причина уязвимости​

Причина уязвимости кроется в ошибочной обработке памяти в коде, отвечающем за редактирование заголовков почты через Sieve-скрипты. Конкретно, при использовании расширения editheader происходит обращение к памяти, которая уже была освобождена (use-after-free).

Эта ошибка позволяет атакующему записать данные из памяти за пределы предназначенного буфера в доставляемое письмо. В результате возникает утечка содержимого памяти и возможность повреждения памяти во время процесса доставки. Такое повреждение может привести к сбою процесса доставки или, в худшем случае, к выполнению произвольного кода в контексте этого процесса.

Как работает атака​

Атака начинается с аутентифицированного пользователя, который имеет право на отправку почты и настройку Sieve-скриптов. Злоумышленник формирует Sieve-скрипт, использующий расширение editheader для модификации заголовков письма.

При обработке такого скрипта Dovecot обращается к памяти, которая была освобождена ранее. Это позволяет атакующему контролировать данные, записываемые в память, и повредить структуры данных процесса.

Повреждение памяти может привести к изменению потока выполнения программы, что открывает путь к выполнению произвольного кода. Также возможна утечка данных из памяти процесса, что может раскрыть чувствительную информацию.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости необходимо выполнить следующие условия:

• Наличие валидной учётной записи в системе Dovecot.
  
• Возможность настройки Sieve-скриптов для этой учётной записи.
  
• Включение расширения editheader в конфигурации Dovecot.
  
• Использование уязвимой версии пакета dovecot (см. раздел «Какие продукты и версии затронуты»).
  

Возможный сценарий атаки​

Злоумышленник, получивший доступ к учётной записи (например, через фишинг или перебор паролей), настраивает Sieve-скрипт с использованием editheader. Скрипт формируется так, чтобы вызвать use-after-free при обработке заголовков письма.

При отправке письма с таким скриптом Dovecot обрабатывает его и обращается к освобождённой памяти. Атакующий контролирует данные, записываемые в память, что позволяет повредить структуры данных процесса доставки.

В результате процесс может завершиться с ошибкой или начать выполнять код, контролируемый атакующим. Это даёт злоумышленнику возможность выполнить произвольные команды в контексте процесса Dovecot.

Есть ли публичный эксплойт​

На момент публикации CVE-2026-42007 публичные эксплойты не зафиксированы. В описании уязвимости указано: «No publicly available exploits are known». Это означает, что готовый код для автоматической эксплуатации в открытом доступе отсутствует.

Однако отсутствие публичного эксплойта не гарантирует безопасность. Уязвимость имеет высокий CVSS-балл и может быть эксплуатирована целевыми группами, обладающими ресурсами для разработки собственного эксплойта. Администраторам следует относиться к ней как к критической и принимать меры по защите.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для CVE-2026-42007 в открытых источниках не опубликованы. Ниже приведены общие точки контроля, которые не являются специфичными для данной уязвимости, но могут помочь в обнаружении аномальной активности.

• Аномальные Sieve-скрипты, использующие editheader для модификации заголовков.
  
• Сбои или перезапуски процесса dovecot (особенно dovecot-lda или dovecot-lmtp).
  
• Необычные записи в логах Dovecot, связанные с обработкой Sieve-скриптов.
  
• Утечки данных из памяти, которые могут проявляться в содержимом доставленных писем (например, фрагменты чужих писем или системных данных).
  

Как обнаружить атаку​

Для обнаружения атаки или эксплуатации уязвимости рекомендуется использовать следующие методы:

• Мониторинг логов Dovecot на предмет ошибок, связанных с обработкой Sieve-скриптов.
  
• Анализ Sieve-скриптов пользователей на предмет использования editheader в подозрительных целях.
  
• Контроль целостности процесса dovecot (например, через systemd или monit) для быстрого обнаружения сбоев.
  
• Использование инструментов мониторинга аномальной активности в почтовых системах (например, SIEM-системы).
  

Как проверить свою версию​

Для проверки версии установленного пакета dovecot в Debian используйте следующие команды. Замените <имя-пакета> на dovecot.

cat /etc/debian_version
cat /etc/os-release
apt-cache policy dovecot
dpkg-query -W -f='${Package} ${Version}\n' dovecot

Сравните полученную версию с уязвимыми версиями, указанными в разделе «Какие продукты и версии затронуты». Если версия совпадает с уязвимой, необходимо принять меры по исправлению.

Исправление​

Основное средство исправления — обновление пакета dovecot до версии, не содержащей уязвимости. Статус исправления в Debian:

• sid: Исправлено в версии 1:2.4.5+dfsg1-1. Обновите пакет до этой версии или выше.
  
• bookworm, trixie, forky: Исправление не назначено. До выхода официального обновления рекомендуется применить временные меры защиты.
  

Для обновления в Debian используйте:

apt update
apt upgrade dovecot

После обновления перезапустите службу Dovecot:

systemctl restart dovecot

Временные меры защиты​

До выхода официального исправления в bookworm, trixie и forky рекомендуется применить следующие временные меры:

• Отключите расширение editheader в конфигурации Dovecot. Это предотвратит использование уязвимого функционала.
  
• Ограничьте доступ к настройке Sieve-скриптов для пользователей, которым это не требуется.
  
• Усиленный мониторинг логов Dovecot на предмет аномальной активности.
  
• Рассмотрите возможность временного отключения Sieve-скриптов для всех пользователей, если это допустимо в вашей инфраструктуре.
  

Как проверить устранение уязвимости​

После обновления пакета dovecot или применения временных мер проверьте результат:

1. Убедитесь, что версия пакета соответствует исправленной (см. раздел «Какие продукты и версии затронуты»).
   
2. Проверьте, что расширение editheader отключено в конфигурации Dovecot.
   
3. Протестируйте отправку писем с Sieve-скриптами, чтобы убедиться в корректной работе системы.
   
4. Проверьте логи Dovecot на предмет ошибок после применения изменений.
   

Команды для проверки версии и конфигурации:

dpkg-query -W -f='${Package} ${Version}\n' dovecot
grep -r "editheader" /etc/dovecot/

Вывод​

CVE-2026-42007 представляет серьёзную угрозу для почтовых серверов на базе Debian, использующих Dovecot. Уязвимость позволяет аутентифицированному пользователю повредить память процесса доставки и потенциально выполнить произвольный код.

В Debian статус исправления различается: в sid проблема устранена, в других релизах — открыта. Администраторам необходимо срочно проверить версии установленного пакета, отключить расширение editheader и подготовить план обновления.

Отсутствие публичных эксплойтов не снижает критичность уязвимости, и промедление может привести к компрометации системы.

Официальные источники​

1. NVD — CVE-2026-42007
   
2. Debian Security Tracker — CVE-2026-42007
   
3. FIRST EPSS — CVE-2026-42007
   

История обновлений статьи​

• 31.08.2026 — Опубликована первая версия материала.
  
• 01.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.
  
• 03.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.
  
• 06.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.