「Dovecot 2.4.5」リリース ─ 「Pigeonhole 2.4.5」も同時にリリース

　Dovecot development teamは8月28日(現地時間)、メールサーバ「Dovecot 2.4.5」、およびSieveおよびManageSieveを実装する「Pigeonhole 2.4.5」をリリースした。

　「Dovecot」は、LinuxやUnix系OSで利用されるオープンソースのIMAP／POP3サーバ。メール配送用のLMTP、SMTP Submission、認証、プロキシ、レプリケーションなどの機能も備えている。「Pigeonhole」は、メールの自動振り分けなどに使用されるSieveと、Sieveスクリプトを遠隔管理するManageSieveをDovecotへ追加する。

　今回のリリースは、「Dovecot 2.4.5」「Pigeonhole 2.4.5」ともに大規模なセキュリティアップデートとなる。

　「Dovecot／Pigeonhole 2.4.5」で修正された主な脆弱性は次の通り。
〇Sieve editheader拡張の解放済みメモリ使用を修正。メール配送プロセスで任意コードを実行される可能性(CVE-2026-42007)
〇SMTPのdot-stuffing処理を修正し、SMTPスマグリングによるメール偽装を防止(CVE-2026-33604)
〇メール内容がdsyncプロトコルのコマンドとして解釈される問題を修正(CVE-2026-33606)
〇信頼済みプロキシから認証不要フィールドを注入し、任意の利用者として認証できる問題を修正(CVE-2026-42008)
〇OAuth 2.0で必要なスコープの一部だけを持つトークンが受け入れられる問題を修正(CVE-2026-40205)
〇OAuth 2.0のaudienceをscopeの代わりに使用し、別用途のトークンで認証できる問題を修正(CVE-2026-73208)
〇IMAP URLAUTHのエラーレスポンスから未初期化メモリが漏えいする問題を修正(CVE-2026-42392)
〇IMAP圧縮を利用したCRIME型の情報漏えいを修正(CVE-2026-40203)
〇IMAP COMPRESS ZSTDによってメモリが過剰に消費される問題を修正(CVE-2026-52687)
〇ゼロ長フレームを含む圧縮データでIMAPプロセスがクラッシュする問題を修正(CVE-2026-73209)
〇IMAP LISTの処理でCPUを過剰に消費する問題を修正(CVE-2026-33607)
〇IMAP THREADでReferencesヘッダの処理に過剰なCPU時間が必要となる問題を修正(CVE-2026-40014)
〇細工されたMessage-IDのハッシュ衝突によりIMAP THREADのCPU使用率が上昇する問題を修正(CVE-2026-40017)
〇認証前のIMAP IDコマンドでメモリとCPUを過剰に消費する問題を修正(CVE-2026-42391)
〇大量のメールアドレスを含むヘッダによってメモリが過剰に消費される問題を修正(CVE-2026-27852)
〇接続数の上限到達時にsubmission-loginがクラッシュする問題を修正(CVE-2026-33263)
〇不正なコマンドによってimap-hibernateがクラッシュする問題を修正(CVE-2026-40015)
〇信頼済みプロキシから送られたNUL文字でログインプロセスがクラッシュする問題を修正(CVE-2026-42395)
〇doveadmのパスワードまたはAPIキーの長さをタイミング攻撃で推測できる問題を修正(CVE-2026-42393)
〇有効なSieveスクリプトを切り替えることでCPU使用時間の制限を回避できる問題を修正(CVE-2026-52681)
〇ManageSieveの認証前クラッシュを修正(CVE-2026-33605)
〇ManageSieveの認証前処理が無限ループする問題を修正(CVE-2026-40019)
〇極端な数値リテラルを含むSieveスクリプトによって境界外書き込みが発生する問題を修正(CVE-2026-40013)
〇MySQLのマルチバイト文字に対するエスケープ処理を修正(CVE-2026-40018)
〇メールボックスの自動作成によってACL制限を回避できる問題を修正(CVE-2026-40204)

　セキュリティ修正以外の主な変更点は次の通り。

〇複数行の設定値を記述するheredoc構文を追加
〇認証キャッシュの状態を表示する「doveadm auth cache status」コマンドを追加
〇fts-flatcurveでフレーズ検索に対応
〇OpenSSL 3を使用したML-KEM-512／768／1024に対応
〇Dovecotの鍵暗号化でAEADをサポート
〇プラグインによるコマンド制限を示すIMAPのTHROTTLEDレスポンスコードを追加
〇SQLiteのビジータイムアウトを設定可能に
〇HTTPリクエストの解析を厳格化し、obs-foldと単独のLFを拒否
〇OTP認証機構とOTPパスワード方式を削除
〇SIGHUPによる認証キャッシュの消去を廃止
〇多数の認証、IMAP、dsync、FTS、暗号化、ストレージ関連の不具合を修正
など。

　「Dovecot 2.4.5」「Pigeonhole 2.4.5」は、公式サイトから入手できる。

(川原 龍人/びぎねっと)

[関連リンク]
リリースアナウンス(Dovecot/Pigeonhole 2.4.5)
Release(Dovecot 2.4.5,GitHub)
Dovecot 2.4.5ソースコード
Pigeonhole 2.4.5ソースコード