[PATCH] auth: Use AUTH_CACHE_KEY_USER instead of per-database constants

Fixes cache key issue where users would end up overwriting
each other in cache due to cache key being essentially static
string because we no longer support %u.

Forgotten in 2e298e7ee98b6df61cf85117f000290d60a473b8

Gbp-Pq: Name auth__Use_AUTH_CACHE_KEY_USER_instead_of_per-database.patch

[PATCH] Fix LDAP SASL auth support

961275fdb54878fdfa4ee1b9f1a4f00e82bf4a83 moved code without creating a
way to have HAVE_LDAP_SASL defined there.

Copy the preprocessor block from src/auth/db-ldap.c to fix this.

Gbp-Pq: Name bug1106784_Fix-LDAP-SASL-auth-support.patch

Fix groff errors in upstream manpages

Forwarded: no
Last-Update: 2025-05-02

Last-Update: 2025-05-02
Gbp-Pq: Name fix-man-errors.patch

Fix GSSAPI regression

Origin: https://dovecot.org/mailman3/archives/list/dovecot@dovecot.org/message/O54EAGLIXXHMOH7BQCCKHHB3Z32HDWVR/
Bug-Debian: https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1104549
Last-Update: 2025-05-02

Dovecot 2.4 introduced a regression that broke GSSAPI authentication for
some clients.  This patch contains a fix provided by the upstream maintainers.
Last-Update: 2025-05-02
Gbp-Pq: Name bug1104549-gssapi-regression.patch

fit-32-bit-test-integers

===================================================================

Gbp-Pq: Name fit-32-bit-test-integers.patch

Use _FORTIFY_SOURCE level 3

Forwarded: not-needed

Gbp-Pq: Name Use-_FORTIFY_SOURCE-level-3.patch

[PATCH] lda: Default mail_home=$HOME environment if not using userdb lookup

The previous code to do this was removed by
e57d5b9002f910c095ee5b55821395fcf1da016a

Gbp-Pq: Name 0002-lda-Default-mail_home-HOME-environment-if-not-using-.patch

[PATCH] lda: Fix using USER environment if -d hasn't been specified

This became broken at some point.

Gbp-Pq: Name 0001-lda-Fix-using-USER-environment-if-d-hasn-t-been-spec.patch

Don't try to build doc/rfc subdir components

Forwarded: not-needed

Forwarded: not-needed
Gbp-Pq: Name skip-rfc-subdir.patch

dovecot (1:2.4.1+dfsg1-6+deb13u7) trixie-security; urgency=medium

  * Import upstream fixes for multiple security issues. (Closes: #1146018)
    - CVE-2026-27852: DoS by sending mail with bad header
    - CVE-2026-33263: submission-login: Panic when
      mail_max_userip_connections is reached: Panic: epoll_ctl(del, 8)
      failed: Bad file descriptor
    - CVE-2026-33604: SMTP Smuggling via Missing Dot-Stuffing After Bare
      Carriage Return
    - CVE-2026-33605: managesieve-login: Pre-auth crash
    - CVE-2026-33607: Dovecot IMAP LIST match_sub() Exponential
      Backtracking — CPU Denial of Service
    - CVE-2026-40013: pigeonhole: Stack Buffer Underflow in Pigeonhole
      ManageSieve CHECKSCRIPT/PUTSCRIPT
    - CVE-2026-40014: IMAP THREAD REFERENCES O(N²) CPU DoS via Crafted
      References Header (index-thread-links.c)
    - CVE-2026-40015: imap-hibernate can be crashed
    - CVE-2026-40017: IMAP THREAD O(M³) CPU DoS via CRC32 Hash Collision
      in strmap (mail-index-strmap.c / hash2.c)
    - CVE-2026-40018: MySQL multi-byte escaping wrong
    - CVE-2026-40204: acl: lda_mailbox_autocreate can bypass acl
      restrictions
    - CVE-2026-42007: Sieve editheader RCE
    - CVE-2026-42391: imap: Pre-login memory/CPU growth with ID command
    - CVE-2026-42394: sieve: symlink traversal flaw could result in
      arbitrary file disclosure
    - CVE-2026-52681: Sieve resource usage tracking lost when active
      script changes
    - CVE-2026-52687: IMAP: COMPRESS ZSTD can cause excessive memory usage
    - CVE-2026-73209: imap-login crash: Self-recursion on zero-output
      decompress chunks
    - CVE-2026-33606: dsync: Mail content can cause dsync protocol
      injection
    - CVE-2026-40203: IMAP Compression Can Reveal Whether a Small Synced
      Email Body Matches Sender-Chosen Text
    - CVE-2026-42008: XCLIENT FORWARD= bare token not namespaced, allows
      nopassword injection via trusted proxy
    - CVE-2026-42392: imap-urlauth leaks memory into user-visible error
      messages
    - CVE-2026-42393: doveadm_password or api key length can still be
      leaked with timing comparisons
    - CVE-2026-42395: Single NUL-Byte XCLIENT FORWARD Payload Crashes
    - CVE-2026-40205: OAuth2 passdb scope enforcement bypass via OR
      semantics in remote validation path
    - CVE-2026-73208: auth: db-oauth2: aud claim used as fallback for
      missing scope claim
  * lib-mail: istream-header-filter - Fix potential assert-crash
    (Closes: #1144639)
  * CI: Disable test-build-twice job, which is known to fail on trixie

[dgit import unpatched dovecot 1:2.4.1+dfsg1-6+deb13u7]

Import dovecot_2.4.1+dfsg1-6+deb13u7.debian.tar.xz

[dgit import tarball dovecot 1:2.4.1+dfsg1-6+deb13u7 dovecot_2.4.1+dfsg1-6+deb13u7.debian.tar.xz]

Import dovecot_2.4.1+dfsg1.orig.tar.gz

[dgit import orig dovecot_2.4.1+dfsg1.orig.tar.gz]

Import dovecot_2.4.1+dfsg1.orig-pigeonhole.tar.gz

[dgit import orig dovecot_2.4.1+dfsg1.orig-pigeonhole.tar.gz]