DovecotのOTP認証は特定の条件下でリプレイ攻撃に対して脆弱です。auth cacheが有効であり、passdb内のユーザー名が変更された場合、OTPの認証情報がキャッシュされ、同じOTPの応答が有効になる可能性があります。OTPのやり取りを観察できる攻撃者は、そのユーザーとしてログインすることが可能です。認証が安全でない接続上で行われる場合は、SCRAMプロトコルに切り替えてください。あるいは通信が安全であることを確認し、可能であればOAUTH2やSCRAMに切り替えてください。現在、公開されている攻撃コードはありません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。