Dovecot is een mailserver met ondersteuning voor imap, pop3, ipv6, ssl en tls, en valt deels onder een MIT- en deels onder een Lgplv2.1-licentie. Voor het opslaan van mailberichten kan gebruik worden gemaakt van maildir-, mbox- en het zelf ontwikkelde dbox-formaat. Daarnaast kunnen mta's zoals Postfix 2.3+ en Exim 4.64+ hun smtp-authenticatieproces zonder tussenstappen uitvoeren bij Dovecot. De ontwikkelaars hebben versie 2.3.5.2 uitgebracht met de volgende aankondiging:
Version 2.3.5.2 releasedVersion 2.3.5.1 released
- CVE-2019-10691: Trying to login with 8bit username containing invalid UTF8 input causes auth process to crash if auth policy is enabled. This could be used rather easily to cause a DoS. Similar crash also happens during mail delivery when using invalid UTF8 in From or Subject header when OX push notification driver is used.
- CVE-2019-7524: Missing input buffer size validation leads into arbitrary buffer overflow when reading fts or pop3 uidl header from Dovecot index. Exploiting this requires direct write access to the index files.
