> Список всех страниц есть в [llms.txt](https://kupivps.com/llms.txt). Эта страница на сайте: https://kupivps.com/news/dovecot-obhod-autentifikacii-pri-pustom-auth-username-chars-cve-2026-24031

# Dovecot: обход аутентификации при пустом auth_username_chars

В почтовом сервере Dovecot найдена уязвимость, позволяющая обойти SQL-аутентификацию и перечислить пользователей, если параметр auth_username_chars очищен вручную. Публичных эксплойтов пока нет, но рекомендуется срочно проверить конфигурацию и обновить пакет.

_Безопасность · 27 октября 2026 · severity: critical · CVE-2026-24031_

## Что случилось

В почтовом сервере Dovecot выявлена опасная уязвимость в механизме SQL-аутентификации. Если администратор вручную очистил параметр `auth_username_chars` в конфигурации, злоумышленник может полностью обойти проверку пароля и войти в любой почтовый ящик на сервере. Кроме того, баг позволяет собрать полный список существующих учётных записей через перебор. Публичных эксплойтов в открытом доступе пока не зафиксировано, однако риск остаётся высоким из-за серьёзности последствий: компрометация переписки и данных пользователей.

## Кого касается

Проблема актуальна только для серверов, где одновременно выполняются три условия:

- используется Dovecot для приёма и доставки почты;

- проверка логина и пароля выполняется через внешнюю SQL-базу (MySQL, PostgreSQL или аналог);

- в конфигурации параметр `auth_username_chars` сброшен в пустое значение администратором вручную.

Если почтовые ящики работают через системных пользователей, PAM, LDAP или стандартный механизм без изменения `auth_username_chars`, угроза не распространяется на вашу систему.

## Что делать

Владельцам VPS следует действовать в следующем порядке:

- **Проверьте конфигурацию.** Откройте файл аутентификации Dovecot (обычно `/etc/dovecot/conf.d/10-auth.conf` или собственный файл SQL-auth) и убедитесь, что `auth_username_chars` не пустой. Если строка закомментирована или содержит набор допустимых символов — всё в порядке. Если параметр явно очищен (пустые кавычки или отсутствие значения), верните стандартный набор символов.

- **Обновите Dovecot.** Установите последнюю стабильную версию из репозитория вашего дистрибутива. В Debian/Ubuntu выполните `apt update && apt upgrade dovecot-core dovecot-mysql` (или `dovecot-pgsql`), в RHEL/CentOS — `yum update dovecot*`. После установки патча перезапустите службу командой `systemctl restart dovecot`.

- **Временная мера.** Если обновление прямо сейчас невозможно, обязательно задайте `auth_username_chars` явно. Например: `auth_username_chars = abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ01234567890.-_@`. Это закроет вектор атаки до момента установки официального исправления.

Источник: https://nvd.nist.gov/vuln/detail/CVE-2026-24031