A Dovecot fejlesztőcsapat bejelentette a Dovecot 2.4.2 verzió megjelenését, amely az egyik legszélesebb körben használt, nyílt forráskódú IMAP és POP3 levelezőszerver új, stabil kiadása. A frissítés jelentős biztonsági hibát javít, modernizálja a rendszer függőségeit, és elhozza az IMAP4rev2 protokoll korai, kísérleti támogatását.
Súlyos biztonsági hiba javítása – CVE-2025-30189
A frissítés egyik legfontosabb eleme a CVE-2025-30189 azonosítójú biztonsági probléma megszüntetése.
A hiba több hitelesítési backendben – köztük a passdb oauth2, passwd és bsdauth modulokban – fordult elő, és akkor jelentkezhetett, ha az auth cache (hitelesítési gyorsítótár) engedélyezve volt. Ilyenkor a rendszer ugyanazzal a cache-kulccsal tárolhatta a felhasználói adatok egy részét, ami komoly biztonsági kockázatot jelenthetett többfelhasználós környezetekben.
A hibát a fejlesztők kijavították, így a 2.4.2-es verzió telepítése erősen ajánlott minden Dovecot-alapú levelezőszerver üzemeltetőjének.
Modernizált függőségek és új funkciók
A Dovecot 2.4.2 a rendszer alapjait is továbbfejlesztette, többek között:
- Új libpcre2 függőség: a korábbi regex-megoldás helyett a libpcre2-t használja, ami jobb teljesítményt és kompatibilitást biztosít.
- libicu eltávolítása: a projekt mostantól saját, könnyű Unicode-könyvtárat használ, ezzel egyszerűbbé válik az összeállítás és kevesebb külső függőségre van szükség.
- OAuth2 fejlesztések: új beállítás (oauth2_token_expire_grace) segítségével pontosabban kezelhetők a JWT tokenek és azok lejárati ideje.
- Kísérleti IMAP4rev2-támogatás: a levelezési protokoll következő generációja (IMAP4rev2, RFC 9051) mostantól részlegesen implementálva tesztelhető.
- LMTP pipelining: a beépített LMTP kliens immár parancssoros csővezetékezést támogat, ami gyorsabb üzenetkézbesítést eredményez.
- Javított SSL és proxykezelés: a szerver nem próbál újracsatlakozni hibás tanúsítványt bemutató távoli kiszolgálókhoz.
- Python 3-alapú konfigurációértelmező: ezzel a fejlesztéssel a rendszer jobban karbantartható és jövőbiztosabb lett.
Pigeonhole 2.4.2 – fejlettebb Sieve szűrés és Unicode-támogatás
A Dovecothoz tartozó Pigeonhole komponens (amely a Sieve szkriptek alapján végzi az e-mail szűrését) szintén frissült. Az újdonságok között szerepel:
- Unicode-kompatibilis reguláris kifejezések és extlists támogatás,
- új libpcre2-alapú regex backend,
- több LDAP- és konfigurációs hiba javítása,
- megbízhatóbb szkript-tárolás és stabilabb működés.
Letöltés és frissítési javaslatok
A Dovecot 2.4.2 és a Pigeonhole 2.4.2 verzió letölthető a hivatalos Dovecot-tárolóból (repo.dovecot.org), illetve Docker Hubon előre elkészített konténerképek formájában is elérhető. A fejlesztők nyomatékosan javasolják a 2.3 → 2.4 frissítési útmutató elolvasását, mivel a libpcre2 függőség és a belső könyvtárstruktúra megváltozása miatt a régi konfigurációk kézi módosításra szorulhatnak.
A Dovecot 2.4 verzió számos jelentős fejlesztést és változtatást hoz, amelyek előnyösek lehetnek a teljesítmény, biztonság és funkcionalitás szempontjából. Ugyanakkor a frissítés előtti alapos tervezés és dokumentációáttekintés elengedhetetlen. A forráskód és a Docker képek elérhetők a hivatalos oldalakon. A részletes változáslista megtalálható a projekt GitHub-oldalán.
