Vulnerabilidades sem correção no Cyrus SASL e projeto sem novas versões desde 2022

O que aconteceu e o que fazer

Segundo a publicação de Alan Coopersmith na lista oss-sec, em 9 de outubro de 2026, há vários problemas de segurança divulgados publicamente no projeto Cyrus SASL que seguem sem resposta dos mantenedores. Ex-mantenedores afirmam que já não estão envolvidos. O projeto não tem nova versão desde 2022, e os únicos commits do último ano foram atualizações de documentação para registrar releases do cyrus-imapd. Entre os itens listados estão vazamentos de memória em _sasl_make_plain_secret e outros problemas ainda em aberto.

Para uma empresa que usa o Cyrus SASL na autenticação de servidores de e-mail ou de serviços internos, o risco é depender de uma biblioteca sem manutenção ativa. Um primeiro passo prático é inventariar onde a biblioteca está embutida, incluindo pacotes de terceiros e imagens de contêiner, e monitorar avisos e commits para saber quando surgir correção. Em paralelo, pode-se montar um painel de exposição por serviço, definir controles compensatórios como isolamento de rede e restrição de acesso, e planejar uma migração ou um fork controlado, validado por testes de regressão de autenticação.

Como a consultoria pode ajudar

Diagnóstico da exposição ao Cyrus SASL: inventário de uso em servidores, contêineres e pacotes, classificação de risco e controles compensatórios. Em seguida, implantação de monitoramento de avisos e de versões, com painel de exposição e plano de migração escopado.

Próximo passo

Se a sua empresa depende do Cyrus SASL, envie uma descrição curta do ambiente e do caso. Respondemos com uma proposta escopada de diagnóstico e implementação.