1.8.14に更新してください。これには、CVE-2018-14645の修正も含まれています。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

HAProxyが特定のリクエストを不適切に処理することが発見されました。
攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このhaproxyのバージョン1.8.14への更新では、次の問題を修正します：

次のセキュリティ問題が修正されました：

  - CVE-2018-14645：HPACKデコーダーに欠陥が見つかりました。これにより、hpack_valid_idx()で領域外読み取りが発生し、リモートのクラッシュとサービス拒否が引き起こされます（bsc#1108683）

  - CVE-2018-11469：Authorizationヘッダーを含むリクエストに対する応答が不適切にキャッシュされることで、攻撃者が認証されていないリモートリクエストによって情報漏洩を実現できました（bsc#1094846）。

次のセキュリティ以外の問題が、修正されました。

  - 依存関係を削減するためにapparmor-abstractionsを必要とします（bsc#1100787）

  - hpack：ヘッダーインデックス値に対する不適切な符号チェックを修正します

  - cli：「getsock」コマンドが接続時にのみ呼び出されるようにします

  - tools：IPv4でのset_net_port() / set_host_port()を修正します

  - パターン：パターンリストをリロードするときの二重解放の可能性を修正します

  - サーバー：CLIでFQDNを設定するとクラッシュします。

  - kqueue：誤って変更番号をリセットしないようにします。

  - snapshot：エラーのダンプ中にプロキシのロックを取得します

- http/threads：エラーのスナップショットIDをアトミックに増加します

  - dns：構成解析直後にサーバーのリゾルバーをチェックしてリンクします

  - h2：無効な形式のラップされたフレームにおけるメモリリークのリスクを修正します

  - session：ログでのハンドシェイク処理時刻の報告を修正します

  - stream：リクエストカウンターにアトミック増分を使用します

  - thread：HA_ATOMIC_XADD()を実装します

  - ECC証明書はTLS < v1.2 and openssl >=1.1.1で動作するはずです

  - dns/server：SRV解決とサーバー状態ファイルの間の非互換性を修正します

  - hlua：SET_SAFE_LJMPが0を返す場合は、RESET_SAFE_LJMPを呼び出しません。

  - thread：lua：SSLコンテキストの初期化が不適切です。

  - hlua：完了時に出力バッファを必ずドレインします。

  - lua：httpリクエスト間でluaトランザクションをリセットします

  - mux_pt：mux_pt_wake()で接続を逆参照します

  - lua：HTTPクライアントリクエストの期間が不適切です。

  - unix：->drain()関数を提供します

  - 構成ドキュメントのスペルミスを修正します

  - cli/threads：一部のサーバーコマンドを同時操作から保護します

  - cli/threads：すべての「proxy」コマンドを同時更新から保護します

  - lua：ソケットタイムアウトは適用されません

  - ssl：TLSプロトコルに一貫した名前を使用します

  - dns：set server ... fqdnにリゾルバーが必要なことを説明します

  - map：map_regmをbackrefで修正します

  - ssl：certifileからdhパラメーターをロードすると、予測できないエラーが発生します。

  - ssl：バンドルからのkeytype証明書のロード時のエラーの欠落を修正します

  - ssl：エラーとして報告された接続を空にします。

  - cli：「show fd」をスレッドセーフにします

  - hathreads：より柔軟なランデブーポイントを実装します

  - thread：同期点に対する変更後のno-threadケースを修正します

  - thread：no-threadケースでの特定の変数間の整合性を強化します

  - thread：ARMv7に対する二重のCAS実装を修正します

  - thread：x86_64とarmで二重幅のCASを導入します。

  - lua：「\n」ヘッダーでのCLOSE-WAIT状態の可能性

その他の変更については、変更ログを参照してください。

この更新プログラムはSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2018:2882 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    HAProxy は、高可用性環境に特に適した TCP/HTTP リバースプロキシです。

    セキュリティ修正プログラム: 

    * haproxy: HPack デコーダーの領域外読み取り (CVE-2018-14645)

    影響、CVSS スコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    Red Hat はこの問題を報告してくれた Tim Dsterhus 氏と Willy Tarreau 氏に感謝の意を表します。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

このhaproxyのバージョン1.8.14への更新では、次の問題が修正されます：

これらのセキュリティの問題が修正されました：

  - CVE-2018-14645：HPACKデコーダーに欠陥が見つかりました。これにより、hpack_valid_idx()で領域外読み取りが発生し、リモートのクラッシュとサービス拒否が引き起こされます（bsc#1108683）

  - CVE-2018-11469：Authorizationヘッダーを含むリクエストに対する応答が不適切にキャッシュされることで、攻撃者が認証されていないリモートリクエストによって情報漏洩を実現できました（bsc#1094846）。

以下のセキュリティ以外の問題が、修正されました。

  - 依存関係を削減するためにapparmor-abstractionsを必要とします（bsc#1100787）

  - hpack：ヘッダーインデックス値に対する不適切な符号チェックを修正します

  - cli：「getsock」コマンドが接続時にのみ呼び出されるようにします

  - tools：IPv4でのset_net_port() / set_host_port()を修正します

  - パターン：パターンリストをリロードするときの二重解放の可能性を修正します

  - サーバー：CLIでFQDNを設定するとクラッシュします。

  - kqueue：誤って変更番号をリセットしないようにします。

  - snapshot：エラーのダンプ中にプロキシのロックを取得します

- http/threads：エラーのスナップショットIDをアトミックに増加します

  - dns：構成解析直後にサーバーのリゾルバーをチェックしてリンクします

  - h2：無効な形式のラップされたフレームにおけるメモリリークのリスクを修正します

  - session：ログでのハンドシェイク処理時刻の報告を修正します

  - stream：リクエストカウンターにアトミック増分を使用します

  - thread：HA_ATOMIC_XADD()を実装します

  - ECC証明書はTLS < v1.2 and openssl >=1.1.1で動作するはずです

  - dns/server：SRV解決とサーバー状態ファイルの間の非互換性を修正します

  - hlua：SET_SAFE_LJMPが0を返す場合は、RESET_SAFE_LJMPを呼び出しません。

  - thread：lua：SSLコンテキストの初期化が不適切です。

  - hlua：完了時に出力バッファを必ずドレインします。

  - lua：httpリクエスト間でluaトランザクションをリセットします

  - mux_pt：mux_pt_wake()で接続を逆参照します

  - lua：HTTPクライアントリクエストの期間が不適切です。

  - unix：->drain()関数を提供します

  - 構成ドキュメントのスペルミスを修正します

  - cli/threads：一部のサーバーコマンドを同時操作から保護します

  - cli/threads：すべての「proxy」コマンドを同時更新から保護します

  - lua：ソケットタイムアウトは適用されません

  - ssl：TLSプロトコルに一貫した名前を使用します

  - dns：set server ... fqdnにリゾルバーが必要なことを説明します

  - map：map_regmをbackrefで修正します

  - ssl：certifileからdhパラメーターをロードすると、予測できないエラーが発生します。

  - ssl：バンドルからのkeytype証明書のロード時のエラーの欠落を修正します

  - ssl：エラーとして報告された接続を空にします。

  - cli：「show fd」をスレッドセーフにします

  - hathreads：より柔軟なランデブーポイントを実装します

  - thread：同期点に対する変更後のno-threadケースを修正します

  - thread：no-threadケースでの特定の変数間の整合性を強化します

  - thread：ARMv7に対する二重のCAS実装を修正します

  - thread：x86_64とarmで二重幅のCASを導入します。

  - lua：「\n」ヘッダーでのCLOSE-WAIT状態の可能性

その他の変更については、変更ログを参照してください。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

Red Hat OpenShift Container Platformリリース3.10.66が利用可能になりました。これには、いくつかのセキュリティとバグを修正し、拡張機能を追加するパッケージとイメージの更新が含まれています。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。このアドバイザリには、Red Hat OpenShift Container Platform 3.10.66のRPMパッケージが含まれています。このリリースのコンテナイメージについては、次のアドバイザリを参照してください：https://access.redhat.com/errata/RHBA-2018:2824 セキュリティ修正プログラム：* atomic-openshift：jsonのocパッチにより、masterapiサービスがクラッシュする（CVE-2018-14632）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、この問題を報告してくれたLars Haugan氏に感謝の意を表します。すべてのOpenShift Container Platform 3.10ユーザーは、これらの更新済みパッケージとイメージにアップグレードすることが推奨されます。セキュリティ修正プログラム：* etcdのスケールアップ中に新しいホストを追加するには、etcdクラスターに関する情報が必要です。このバグ修正により、新しいホストを構成する前にこれらの情報を設定するタスクを完了することが必要になるため、想定どおりにスケールアップを完了できます。（BZ#1578482）* 以前は、Prometheusのインストールで使用可能なノードがあるかどうか確認するときに同期ポッドを使用できませんでした。そのため、Prometheusのインストールでカスタムラベルを使用して適切なノードを選択する場合、同期ポッドはそのラベルをすでにノードに適用している必要があります。適用していない場合、Prometheusインストーラーは一致するラベルを持つノードを見つけられません。このバグ修正により、インストールプロセスにチェックが追加され、インストールを続行する前に同期ポッドが利用可能になるまで待機するようになります。その結果、ノードのラベリングプロセスは完了し、ノードにはPrometheusポッドをスケジュールする正しいラベルが付けられます。（BZ#1609019）* このバグ修正により、XFSファイルシステムにマウントされたFlexVolumeのI/Oエラーが原因でポッドが停止したままになる問題が修正されました。（BZ#1626054）* 以前、fluentdは「OneEventStream」クラスを使って内部的にイベントを生成していました。このクラスには「empty?」メソッドがありません。Kubernetesメタデータフィルターは、空のストリームの処理を回避するため「EventStream」オブジェクトの「empty?」メソッドを使用していました。fluentdは「empty?」メソッドがないことに関するエラーメッセージを発行しますが、これによりコンテナログが満杯になり、ディスクの問題を引き起こしました。このバグ修正により、Kubernetesメタデータフィルターは「empty?」メソッドを持つオブジェクトでのみこのメソッドを呼び出すように変更されました。その結果、fluentdログにこのメッセージは含まれません。（BZ#1626552）* RubyGems FFI 1.9.25では、「SELinux deny_execmem=1」のシステムで動作するようにパッチを元に戻しました。この復帰により、fluentdがクラッシュしました。このバグ修正では、パッチの復帰を元に戻しました。その結果、「SELinux deny_execmem=1」を使用してもfluentdはクラッシュしなくなりました。（BZ#1628405）* このバグ修正により、*_redeploy-openshift-ca.yml_*プレイブックは正しいノードクライアント証明書ファイル「node/client-ca.crt」を参照するように更新されました。（BZ#1628546）* BZ1628371の修正により、シンボルが不足している不完全な共有ライブラリが導入されました。この不足しているシンボルが原因で、fluentdは「undefined symbol: rbffi_Closure_Alloc」エラーメッセージを表示してクラッシュしました。このバグ修正により、共有ライブラリは正しいシンボルで再ビルドされます。その結果、fluentdはクラッシュしなくなります。（BZ#1628798）* 以前は、journaldログドライバーでDockerを使用すると、システムやプレーンDockerコンテナのログを含むすべてのコンテナログがジャーナルに記録され、fluentdによって読み取られていました。fluentdはこれらのKubernetes以外のコンテナログの処理方法がわからず例外をスローしました。このバグ修正により、Kubernetes以外のコンテナログは他のシステムサービスからのログとして処理されます（.operations.*インデックスに送信される、など）。その結果、Kubernetes以外のコンテナからのログは正しくインデックス化され、エラーが発生しなくなります。（BZ#1632361）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
120225	Fedora 29：haproxy（2018-0b038c7047）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/9	high
120351	Fedora 28：haproxy（2018-381ab64b59）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/8	high
117904	Ubuntu 18.04 LTS : HAProxy の脆弱性 (USN-3780-1)	Nessus	Ubuntu Local Security Checks	2018/10/3	2024/8/27	high
118344	openSUSEセキュリティ更新プログラム：haproxy（openSUSE-2018-1229）	Nessus	SuSE Local Security Checks	2018/10/24	2025/3/25	medium
210295	RHEL 7 : rh-haproxy18-haproxy (RHSA-2018:2882)	Nessus	Red Hat Local Security Checks	2024/11/5	2024/11/5	high
123348	openSUSEセキュリティ更新プログラム：haproxy（openSUSE-2019-824）	Nessus	SuSE Local Security Checks	2019/3/27	2025/3/12	medium
119405	RHEL 7：Red Hat OpenShift Container Platform 3.10（RHSA-2018:2709）	Nessus	Red Hat Local Security Checks	2018/12/4	2024/11/5	high

検出

プラグインの検索

high

high

high

medium

high

medium

high