Обновление Fedora помогло выявить устаревшие конфигурации Outlook, передающие пароли в открытом виде

Администраторы почтовых серверов на Fedora Linux заметили, что после обновления дистрибутива почтовый клиент Microsoft Outlook перестал подключаться к серверам. Диагностика показала, что в новой версии IMAP/POP3-сервера Dovecot 2.4.3 по умолчанию запрещена аутентификация с передачей пароля в открытом виде в незашифрованных сеансах.

Оказалось, что в Outlook была включена опция использования шифрования, однако клиент при этом продолжал использовать порт 110 для POP3 (вместо порта 995 для TLS) и не применял STARTTLS. В некоторых старых конфигурациях Outlook (проблема замечена начиная с версии 2007 года) флаг шифрования просто игнорировался, и команды USER и PASS отправлялись открытым текстом. Новые настройки Dovecot начали блокировать такие подключения, тем самым вскрыв многолетнюю проблему безопасности.

Linux / Линукс 🥸