openSUSE 安全性更新：fail2ban (openSUSE-SU-2014:0348-1)

medium Nessus Plugin ID 75283

語系：

概要

遠端 openSUSE 主機缺少安全性更新。

說明

fail2ban 工具已更新至 0.8.12 版，以修正多種安全性問題，並且新增錯誤修正和功能。

已修正安全性問題：未經驗證的遠端攻擊者可能使 Fail2ban 封鎖任意 IP 位址，進而阻止合法使用者存取受 Fail2ban 保護的服務。
CVE-2013-7177 (cyrus-imap) 和 CVE-2013-7176 (postfix)

- 在 logrotate 之後使用新 flushlogs 語法

- 0.8.12 版本的更新

- 記錄輪替現在可隨命令 'flushlogs' 發生，而不是在重新載入 fail2ban 或保持 logtarget 設定在 jail.conf/local 和 /etc/logrotate.d/fail2ban 中一致時發生。(dep#697333、rh#891798)。

- 已新增 ignorecommand 選項來允許動態判斷是否要忽略 IP。

- 在登入 SYSLOG 時移除名稱和記錄層級的縮排，以解決 syslog(-ng) 剖析問題。
(dep#730202)。記錄行現在也會在名稱部分之後報告 '[PID]'。

- Epoch 日期現在可括在 [] 內

- 新動作：badips、firewallcmd-ipset、ufw、blocklist_de

- 新篩選：solid-pop3d、nsd、openwebmail、horde、freeswitch、squid、ejabberd、openwebmail、groupoffice

- 篩選改善：

- apache-noscript 現在包括 php cgi 指令碼

- exim-spam 篩選，以符合選項 SAdevnull 的 spamassassin 記錄項目。

- 已針對「已從 3 收到中斷連線訊息：驗證失敗」新增至 sshd 篩選運算式

- 已針對 Asterisk 改善 ACL 處理

- 已將不當的命令管線新增至 postfix 篩選。

- 一般修正：

- 已針對在去年建立的遺漏篩選，新增許多 jail.conf 項目。

- synchat 已變更為使用可驗證是否已傳送所有資料的推送方法。如此可確保在關閉連線之前傳送所有資料。

- 已修正 python 2.4 相容性問題 (當日期模式中的次秒並非 2.4 相容時)

- 投訴/電子郵件已修正為僅包含要報告的相關 IP

- 篩選修正：

- 已將 apache 存取記錄檔的 HTTP 查閱者位元新增至 apache 篩選。

- 已修正 Apache 2.4 perfork regex

- 核心 syslog 運算式可以有前置空格

- 允許 proftpd.log 的自訂日期格式中有 ',milliseconds'

- recidive jail，以封鎖所有通訊協定

- smtps 並非 IANA 標準，因此可能從 /etc/services 中遺漏。由於 (仍) 為常用項目，因此已將 465 作為明確的連接埠號碼

- 在具有範圍較廣之工作階段字元的 regex 中篩選 dovecot 重新排列工作階段和 TLS 項目

- 不良修正 (可能不相容的變更)：

- 遺憾的是，當在上一個版本結尾新增動作 firewall-cmd-direct-new 時，由於過長，會造成損毀動作檢查。該動作已重新命名為 firewallcmd-new，以符合 jail name 的名稱長度。
(gh#fail2ban/fail2ban#395)。

- 上一個版本已新增 mysqld-syslog-iptables 作為 jail 組態。此 jailname 太長，已重新命名為 mysqld-syslog。

- 已修正變更記錄中 github 參照的格式

- 已重新格式化 spec-file

- 0.8.11 版本的更新

- 根據觸發我們上一個版本的 CVE-2013-2178，我們已努力加強篩選的 regex，以避免發生其他類似的弱點。我們並未檢查所有 regex 是否有潛在 DoS 狀況，但可能存在由此版本修正的其他 DoS 弱點。大量篩選已更新為包含支援之前解除禁止之失敗的更多失敗 regex，也支援較新的應用程式版本。我們現在有大多數情況的測試案例，但如果您有其他範例說明篩選不足，歡迎提供回饋。在加強 regex 以避免發生 DoS 弱點期間，儘管我們出於善意，但也可能在無意間錯誤地允許失敗繼續進行。

解決潛在的 DoS。關閉 gh#fail2ban/fail2ban#248、bnc#824710。在 [Init] 內。
關閉 gh#fail2ban/fail2ban#232

- 更新至 asterisk 篩選。關閉 gh#fail2ban/fail2ban#227、gh#fail2ban/fail2ban#230。

- 更新至 asterisk 以包含 AUTH_UNKNOWN_DOMAIN。
關閉 gh#fail2ban/fail2ban#244。在 Fedora 上。關閉 gh#fail2ban/fail2ban#112。感謝 Camusensei 的錯誤報告。深入探索。關閉 gh#fail2ban/fail2ban#103。

- [f2156604] pyinotify -- 監控 IN_MOVED_TO 事件。
關閉 gh#fail2ban/fail2ban#184。感謝 Jon Foster 報告和疑難排解。Orion Poplawski

- [39667ff6] 避免洩漏檔案描述符號。關閉 gh#fail2ban/fail2ban#167。關閉 gh#fail2ban/fail2ban#147、gh#fail2ban/fail2ban#148。

- [b6a68f51] 修正伺服器端的 delaction。關閉 gh#fail2ban/fail2ban#124。fail2ban-client。關閉 gh#fail2ban/fail2ban#134。gh#fail2ban/fail2ban#70。
感謝 iGeorgeX 的建議。

- [96eb8986] ' 和 ' 也應在動作標籤內逸出
關閉 gh#fail2ban/fail2ban#109。beilber 的建議。
關閉 gh#fail2ban/fail2ban#114。fail2ban 正在執行。
關閉 gh#fail2ban/fail2ban#166。

- [29d0df5] 新增 mysqld 篩選。關閉 gh#fail2ban/fail2ban#152。

- [bba3fd8] 新增 Sogo 篩選。關閉 gh#fail2ban/fail2ban#117。

- [be06b1b] 針對 iptables-ipsets 新增動作。關閉 gh#fail2ban/fail2ban#102。

- [f336d9f] 針對 webmin 新增篩選。關閉 gh#fail2ban/fail2ban#99。一致。關閉 gh#fail2ban/fail2ban#172。

- [b36835f] 新增 get cinfo 至 fail2ban-client。關閉 gh#fail2ban/fail2ban#124。關閉 gh#fail2ban/fail2ban#142。關閉 gh#fail2ban/fail2ban#126。錯誤報告者為 Michael Heuberger。

- [3aeb1a9] 新增 jail.conf 手冊頁面。關閉 gh#fail2ban/fail2ban#143。因錯誤設定 DNS 而造成封鎖。關閉 gh#fail2ban/fail2ban#64

- [0935566、5becaf8] 多種 python 2.4 和 2.5 相容性修正。關閉 gh#fail2ban/fail2ban#83。在主控台中。關閉 gh#fail2ban/fail2ban#91 記錄檔，以便使「banip」或「unbanip」生效。關閉 gh#fail2ban/fail2ban#81、gh#fail2ban/fail2ban#86

- [f52ba99] 將「已封鎖」訊息從「WARN」降級為「INFO」。關閉 gh#fail2ban/fail2ban#79。此處的 gh#fail2ban/fail2ban#87) 訊息保持為非 unicode。
關閉 gh#fail2ban/fail2ban#32。負責 Windows 之開發人員的朋友 (關閉 gh#fail2ban/fail2ban#66) 重複違規。關閉 gh#fail2ban/fail2ban#19。關閉 gh#fail2ban/fail2ban#47 (關閉：#669063)