Re: Sicherheitslücke Dovecot

[Christoph Kukulies]

> Am 19.08.2024 um 17:00 schrieb Gerald Galster <list+postfixbuch at gcore.biz>:
> 
>> falls es jemand noch nicht mitbekommen haben sollte:
>> 
>> https://www.heise.de/news/Sicherheitspatch-Angreifer-koennen-Dovecot-Mail-Server-lahmlegen-9838592.html
> 
> In dem Fall besser die Originale lesen:
> 
> https://dovecot.org/mailman3/hyperkitty/list/dovecot@dovecot.org/thread/TBZIOBSMJ5G2C5HBJJCE62HW4ETDZF3S/
> https://dovecot.org/mailman3/hyperkitty/list/dovecot@dovecot.org/thread/TEVOFHCKWZW62C6NAM25S3K7CL6KUL2J/
> 
> "Incoming mails typically have some size limits set by MTA,
> so even largest possible header size may still fit into
> Dovecot's vsz_limit. So attackers probably can't DoS a
> victim user this way."
> 
> "Workaround:
> One can implement restrictions on address headers on MTA
> component preceding Dovecot."
> 
> 
> https://www.postfix.org/postconf.5.html
> 
> message_size_limit (default: 10240000)
> header_size_limit (default: 102400)
> header_address_token_limit (default: 10240)
> 


Und was heißt das jetzt im Klartext? Der einzige Parameter, der bei mir in der main.cf steht, ist
message_size_limit = 51200000

Die anderen scheinen ja dann auf default zu stehen. Sollte ich die nun ändern?

Grüße
Christoph


> Die Meldung scheint nicht so dramatisch zu sein, wie sie auf den ersten Blick wirkt.
> 
> Viele Grüße
> Gerald

-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname   : signature.asc
Dateityp    : application/pgp-signature
Dateigröße  : 488 bytes
Beschreibung: Message signed with OpenPGP
URL         : <https://listi.jpberlin.de/pipermail/postfixbuch-users/attachments/20240820/f92fad94/attachment.asc>