openSUSE セキュリティ更新：fail2ban（openSUSE-SU-2014:0348-1）

medium Nessus プラグイン ID 75283

Language:

概要

リモート openSUSE ホストに、セキュリティ更新がありません。

説明

fail2ban ツールがバージョン 0.8.12 に更新され、さまざまなセキュリティの問題が修正されました。バグ修正と新しい機能も導入されています。

セキュリティの問題を修正：認証されていないリモートの攻撃者が、任意の IP アドレスを Fail2ban によりブロックし、正当なユーザーが Fail2ban に保護されているサービスにアクセスするのをブロックします。
CVE-2013-7177（cyrus-imap）および CVE-2013-7176（postfix）

- logrotate の後に新しい flushlogs 構文を使用します

- バージョン 0.8.12 への更新

- 現在、ログロテーションは、fail2ban をリロードしたり、logtarget 設定を jail.conf/local と /etc/logrotate.d/fail2ban で首尾一貫して保持したりするのではなく、コマンド「flushlogs」で発生するようになっています。（dep#697333、rh#891798）。

- ignorecommand オプションを追加し、IP を無視するかどうか動的に決定できるようにします。

- SYSLOG にログインし、syslog(-ng) 解析の問題を解決する際に、名前とログレベルのインデントを削除します。
（dep#730202）。現在、ログ行は、名前部分の後で「[PID]」もレポートするようになっています。

- 現在はエポック日付が [] で閉じられるようになっています

- 新しいアクション：badips、firewallcmd-ipset、ufw、blocklist_de

- 新しいフィルター：solid-pop3d、nsd、openwebmail、horde、freeswitch、squid、ejabberd、openwebmail、groupoffice

- フィルターの改善：

- 現在は apache-noscript が php cgi スクリプトを含むようになっています

- オプション SAdevnull に対して spamassassin ログエントリが一致させるための exim-spam フィルター。

-「次からの切断を受信しました：3：認証失敗」のために sshd フィルター表現を追加しました

- Asterisk の ACL 処理を改善しました

- 不適切なコマンドパイプラインを postfix フィルターに追加しました。

- 全般的な修正：

- 昨年にゆっくり導入された不足フィルターの多数の jail.conf エントリを追加しました。

- synchat が変更され、全データが送信されたかどうかを検証するプッシュメソッドが使用されるようになりました。これにより、接続を終了する前に全データが必ず送信されるようになります。

- python 2.4 互換性を修正しました（日付パターンのサブセカンドが 2.4 互換性がないためです）

- 苦情/メールアクションが修正され、報告のために関連する IP だけを含めるようになりました

- フィルターの修正：

- apache アクセスログの HTTP リファラビットを apache フィルターに追加しました。

- Apache 2.4 perfork 正規表現が修正されました

- カーネル syslog 表現には先行する空白を設定できます

- proftpd.log のカスタム日付フォーマットで「ミリ秒」を利用できるようにします

- 全プロトコルをブロックするための recidive jail

- smtps が IANA 標準ではないため、/etc/services にない可能性があります。（まだ）一般的に使用されているため、465 が明示的なポート番号として使用されました。

- フィルター dovecot が、セッション文字の範囲がより広い正規表現のセッションと TLS アイテムを再度オーダーしました。

- ぶざまな修正（潜在的な互換性のない変更）：

- 残念ながら、アクション firewall-cmd-direct-new が追加されたときの最終リリースの最後に、それは過度に長くなっており、アクションチェックが破損しました。アクションの名前が firewallcmd-new に変更され、jail 名の長さに収まるようになりました。
（gh#fail2ban/fail2ban#395）。

- 最後のリリースで、mysqld-syslog-iptables が jail 構成として追加されました。この jail 名は長すぎているため、mysqld-syslog に名前が変更されました。

- 変更ログの github 参照のフォーマットが修正されました

- spec ファイルを再フォーマットしました

- バージョン 0.8.11 への更新

- 最終リリースをトリガーした CVE-2013-2178 を通じて、フィルターの全正規表現を規制するために多大なる努力を行い、別の似たような脆弱性が発生するのを防止しました。弊社は、潜在的な DoS シナリオについてすべてを確認したわけではありませんが、リリースにより修正される別の DoS 脆弱性が存在する可能性があります。多数のフィルターが更新され、エラーの正規表現がより多く含まれるようになり、以前は禁止されていなかったエラーをサポートするました。また、より新しいアプリケーションのバージョンもサポートするようになりました。現時点でこれらのほとんどの事例についてテストを行いましたが、フィルターがまだ充分な機能を備えていないことが示される事例がある場合は、フィードバックを送っていただければ幸いです。細心の注意を払っていますが、DoS 脆弱性を防止するために正規表現の規制を強化している際に、それでも不適切なエラーが引き続き起こる可能性があります。

DoS の可能性に対処します。[Init] で gh#fail2ban/fail2ban#248、bnc#824710 を解決します。
gh#fail2ban/fail2ban#232 を解決します

- asterisk フィルターへ更新します。gh#fail2ban/fail2ban#227、gh#fail2ban/fail2ban#230 を解決します。

- asterisk へ更新し、AUTH_UNKNOWN_DOMAIN を含めます。
Fedora の gh#fail2ban/fail2ban#244 を解決します。gh#fail2ban/fail2ban#112 を解決します。バグについての報告書を提供してくれた Camusensei に感謝の意を表します。洞察。gh#fail2ban/fail2ban#103 を解決します。

- [f2156604] pyinotify -- IN_MOVED_TO イベントを監視します。
gh#fail2ban/fail2ban#184 を解決します。報告とトラブルシューティングの情報を提供してくれた Jon Foster 氏に感謝の意を表します。Orion Poplawski 氏

- [39667ff6] ファイル記述子の漏洩を防止します。gh#fail2ban/fail2ban#167 を解決します。gh#fail2ban/fail2ban#147、gh#fail2ban/fail2ban#148 を解決します。

- [b6a68f51] サーバー側の delaction を修正します。gh#fail2ban/fail2ban#124 を解決します。fail2ban-client。gh#fail2ban/fail2ban#134 を解決します。gh#fail2ban/fail2ban#70。
アイデアを提供してくれた iGeorgeX に感謝の意を表します。

- [96eb8986]「and」もアクションタグでエスケープする必要がありますアイデアのため gh#fail2ban/fail2ban#109 beilber を解決します。
gh#fail2ban/fail2ban#114 を解決します。fail2ban が実行中です。
gh#fail2ban/fail2ban#166 を解決します。

- [29d0df5] mysqld フィルターを追加します。gh#fail2ban/fail2ban#152 を解決します。

- [bba3fd8] Sogo フィルターを追加します。gh#fail2ban/fail2ban#117 を解決します。

- [be06b1b] iptables-ipsets のアクションを追加します。gh#fail2ban/fail2ban#102 を解決します。

- [f336d9f] webmin のフィルターを追加します。gh#fail2ban/fail2ban#99 を解決します。首尾一貫して行います。gh#fail2ban/fail2ban#172 を解決します。

- [b36835f] get cinfo を fail2ban-client に追加します。gh#fail2ban/fail2ban#124 を解決します。gh#fail2ban/fail2ban#142 を解決します。gh#fail2ban/fail2ban#126 を解決します。Michael Heuberger 氏によるバグ報告。

- [3aeb1a9] jail.conf マニュアルページを追加します。gh#fail2ban/fail2ban#143 を解決します。不適切に構成されている DNS のための禁止。gh#fail2ban/fail2ban#64 を解決します

- [0935566、5becaf8] さまざまな python 2.4 と 2.5 の互換性の修正。コンソールの gh#fail2ban/fail2ban#83 を解決します。ログファイルが「banip」または「'unbanip」を有効にするために　gh#fail2ban/fail2ban#91 を解決します。gh#fail2ban/fail2ban#81、gh#fail2ban/fail2ban#86 を解決します

- [f52ba99]「already banned」を WARN レベルから INFO レベルにダウングレード。この gh#fail2ban/fail2ban#87) メッセージが非 unicode のままであるため、gh#fail2ban/fail2ban#79 を解決します。
gh#fail2ban/fail2ban#32 を解決します開発者の友人は Windows （gh#fail2ban/fail2ban#66 を解決します）の常習犯により行き詰っていました。gh#fail2ban/fail2ban#19 を解決します gh#fail2ban/fail2ban#47 を解決します（解決：#669063）