An update of the haproxy package has been released.

This update for haproxy to version 2.0.5+git0.d905f49a fixes the following issues :

Security issue fixed :

  - CVE-2019-14241: Fixed a cookie memory corruption     problem. (bsc#1142529)

The update to 2.0.5 brings lots of features and bugfixes :

  - new internal native HTTP representation called HTX, was     already in 1.9 and is now enabled by default in 2.0

  - end-to-end HTTP/2 support including trailers and     continuation frames, as needed for gRPC ; HTTP/2 may     also be upgraded from HTTP/1.1 using the H2 preface;

  - server connection pooling and more advanced reuse, with     ALPN protocol negotiation (already in 1.9)

  - layer 7 retries, allowing to use 0-RTT and TCP Fast Open     to the servers as well as on the frontend

  - much more scalable multi-threading, which is even     enabled by default on platforms where it was     successfully tested ; by default, as many threads are     started as the number of CPUs haproxy is allowed to run     on. This removes a lot of configuration burden in VMs     and containers

  - automatic maxconn setting for the process and the     frontends, directly based on the number of available FDs     (easier configuration in containers and with systemd)

  - logging to stdout for use in containers and systemd     (already in 1.9). Logs can now provide micro-second     resolution for some events

  - peers now support SSL, declaration of multiple     stick-tables directly in the peers section, and     synchronization of server names, not just IDs

  - In master-worker mode, the master process now exposes     its own CLI and can communicate with all other processes     (including the stopping ones), even allowing to connect     to their CLI and check their state. It is also possible     to start some sidecar programs and monitor them from the     master, and the master can automatically kill old     processes that survived too many reloads

  - the incoming connections are load-balanced between all     threads depending on their load to minimize the     processing time and maximize the capacity (already in     1.9)

  - the SPOE connection load-balancing was significantly     improved in order to reduce high percentiles of SPOA     response time (already in 1.9)

  - the 'random' load balancing algorithm and a     power-of-two-choices variant were introduced

  - statistics improvements with per-thread counters for     certain things, and a prometheus exporter for all our     statistics;

  - lots of debugging help, it's easier to produce a core     dump, there are new commands on the CLI to control     various things, there is a watchdog to fail cleanly when     a thread deadlock or a spinning task are detected, so     overall it should provide a better experience in field     and less round trips between users and developers (hence     less stress during an incident).

  - all 3 device detection engines are now compatible with     multi-threading and can be build-tested without any     external dependencies

  - 'do-resolve' http-request action to perform a DNS     resolution on any, sample, and resolvers now support     relying on /etc/resolv.conf to match the local resolver

  - log sampling and balancing : it's now possible to send 1     log every 10 to a server, or to spread the logging load     over multiple log servers;

  - a new SPOA agent (spoa_server) allows to interface     haproxy with Python and Lua programs

  - support for Solaris' event ports (equivalent of kqueue     or epoll) which will significantly improve the     performance there when dealing with numerous connections

  - some warnings are now reported for some deprecated     options that will be removed in 2.1. Since 2.0 is long     term supported, there's no emergency to convert them,     however if you see these warnings, you need to     understand that you're among their extremely rare users     and just because of this you may be taking risks by     keeping them

  - A new SOCKS4 server-side layer was provided ; it allows     outgoing connections to be forwarded through a SOCKS4     proxy (such as ssh -D).

  - priority- and latency- aware server queues : it is     possible now to assign priorities to certain requests     and/or to give them a time bonus or penalty to refine     control of the traffic and be able to engage on SLAs.

  - internally the architecture was significantly redesigned     to allow to further improve performance and make it     easier to implement protocols that span over multiple     layers (such as QUIC). This work started in 1.9 and will     continue with 2.1.

  - the I/O, applets and tasks now share the same     multi-threaded scheduler, giving a much better     responsiveness and fairness between all tasks as is     visible with the CLI which always responds instantly     even under extreme loads (started in 1.9)

  - the internal buffers were redesigned to ease zero-copy     operations, so that it is possible to sustain a high     bandwidth even when forwarding HTTP/1 to/from HTTP/2     (already in 1.9)

This update was imported from the SUSE:SLE-15:Update update project.

このhaproxyのバージョン2.0.5+git0.d905f49aへの更新では、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2019-14241：Cookieのメモリ破損の問題を修正しました。（bsc#1142529）

2.0.5への更新では、多くの機能とバグ修正が導入されます：

  - HTXと呼ばれる新しい内部ネイティブHTTP表現は既に1.9に導入されましたが、2.0ではデフォルトで有効になりました。

  - gRPCに必要なトレーラーおよび継続フレームを含む、エンドツーエンドのHTTP/2サポート。 HTTP/2は、H2 prefaceを使用してHTTP/1.1からアップグレードされることもあります。

  - ALPNプロトコルネゴシエーションサーバー接続プール機能およびより高度な再利用機能（1.9で導入済み）

  - レイヤー7の再試行。これにより、サーバーおよびフロントエンドで0-RTTおよびTCP Fast Openを使用できます

  - よりスケーラブルなマルチスレッド。これは、テストが成功しているプラットフォームではデフォルトで有効になっています。デフォルトでは、多くのスレッドはhaproxyを実行できるCPUの数として開始されします。これにより、VMとコンテナでの構成作処理が大幅に軽減されます

  - 使用可能なFDの数に直接基づく、プロセスおよびフロントエンドの自動maxconn設定（コンテナでのsystemdによる構成がより容易になります）

  -コンテナおよびsystemdで使用するためのstdoutへのロギング（1.9で導入済み）。ログで、一部のイベントに対しマイクロ秒の解決を提供できるようになりました

  - ピアがIDだけでなく、SSL、ピアセクションでの複数のスティックテーブルの直接的な宣言、サーバー名の同期をサポートするようになりました

  - マスターワーカーモードでは、マスタープロセスが専用のCLIを公開するようになり、他のすべてのプロセス（停止中のプロセスも含む）と通信できるようになり、CLIに接続してその状態をチェックできるようになりました。一部のサイドカープログラムを開始してマスターからこれらのプログラムを監視することもできます。マスターはかなりの数のリロードを通じて存続しているプロセスを自動的に強制終了できます

  - 着信接続はすべてのスレッドでその負荷に応じて負荷分散されます。これにより処理時間を最小限に抑え、処理能力が最大限に引き出されます（ 1.9で導入済み）

  - SPOA応答時間の高いパーセンタイルを削減するために、SPOE接続の負荷分散が大幅に改善されました（1.9で導入済み）

  -「ランダム」負荷分散アルゴリズムとpower-of-two-choicesバリアントが導入されました

  - 特定の対象のスレッドごとのカウンターによる統計の改善およびすべての統計のためのprometheusエクスポーター

  - 多数のデバッグヘルプ。コアダンプをより容易に生成できるようになりました。CLIにさまざまな対象を制御する新しいコマンドが導入されました。スレッドデッドロックやスピニングタスクが検出される場合に適切に失敗するウォッチドッグが導入されました。これにより全体的に、現場での操作性が向上し、ユーザーと開発者の間での往復が減少します（このためインシデントにおけるストレスが軽減します）。

  - 3つのデバイス検出エンジンすべてにマルチスレッドとの互換性があり、外部での依存関係を必要とせずにビルドテストできます

  - 任意、サンプル、およびリゾルバーでDNS解決を実行するためにhttp-requestアクションを「do-resolve」します。現在は、ローカルのリゾルバーを一致させるために/etc/resolv.confに依存することがサポートされています

  - ログのサンプリングとバランシング：10のログごとに1つのログをサーバーに送信すること、またはロギングの負荷を複数のログサーバーに分散することができるようになりました。

  - 新しいSPOAエージェント（spoa_server）により、haproxyとPythonおよびLuaプログラムとのインターフェイスが実現します

  - Solarisのイベントポート（kqueueまたはepollに相当）のサポート。これにより、多数の接続を処理する場合のパフォーマンスが大幅に改善されます

  - 2.1で削除される予定の推奨されないいくつかのオプションについて警告が報告されるようになりました。2.0は長期にわたりサポートされているため、至急変換する必要はありません。ただしこれらの警告が表示された場合は、数少ないケースに該当するため、これらのオプションを維持する場合にはリスクがあることを理解しておく必要があります。

  - 新しいSOCKS4サーバーサイドレイヤーが提供されました。これにより、SOCKS4プロキシ（ssh -Dなど）を介して発信接続を転送できます。

  -優先度とレイテンシに対応したサーバーキュー：特定のリクエストに優先度を割り当てたり、タイムボーナスまたはペナルティを与えることができるようになりました。これにより、トラフィックの制御を鵜細かく調整して、SLAに取り組むことができます。

  - 内部でアーキテクチャが大幅に再設計され、パフォーマンスをさらに向上でき、複数のレイヤーに渡るプロトコル（QUICなど）の実装が容易になりました。この作業は1.9で始まり2.1でも継続されます。

  - I/O、アプレット、タスクが、同じマルチスレッドスケジューラを共有するようになりました。これにより、すべてのタスクの間での応答性と公平性が大幅に向上します。これは、極端に負荷が高い場合でも常に即座に応答するCLIからも分かります（ 1.9で開始）

  - 内部バッファが再設計され、ゼロコピー操作が容易になりました。これにより、HTTP/1をHTTP / 2との間で転送する場合でも、高い帯域幅を維持することが可能です（1.9で導入済み）

この更新はSUSEからインポートされました：SLE-15-SP1：更新プロジェクトを更新します。

このhaproxyのバージョン2.0.5+git0.d905f49aへの更新では、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2019-14241：Cookieのメモリ破損の問題を修正しました。（bsc#1142529）

2.0.5への更新では、多くの機能とバグ修正が導入されます：

  - HTXと呼ばれる新しい内部ネイティブHTTP表現は既に1.9に導入されましたが、2.0ではデフォルトで有効になりました。

  - gRPCに必要なトレーラーおよび継続フレームを含む、エンドツーエンドのHTTP/2サポート。 HTTP/2は、H2 prefaceを使用してHTTP/1.1からアップグレードされることもあります。

  - ALPNプロトコルネゴシエーションサーバー接続プール機能およびより高度な再利用機能（1.9で導入済み）

  - レイヤー7の再試行。これにより、サーバーおよびフロントエンドで0-RTTおよびTCP Fast Openを使用できます

  - よりスケーラブルなマルチスレッド。これは、テストが成功しているプラットフォームではデフォルトで有効になっています。デフォルトでは、多くのスレッドはhaproxyを実行できるCPUの数として開始されます。これにより、VMとコンテナでの構成作処理が大幅に軽減されます

  - 使用可能なFDの数に直接基づく、プロセスおよびフロントエンドの自動maxconn設定（コンテナおよびsystemdによる構成がより容易になります）

  -コンテナおよびsystemdで使用するためのstdoutへのロギング（1.9で導入済み）。ログで、一部のイベントに対しマイクロ秒の解決を提供できるようになりました

  - ピアがIDだけでなく、SSL、ピアセクションでの複数のスティックテーブルの直接的な宣言、サーバー名の同期をサポートするようになりました

  - マスターワーカーモードでは、マスタープロセスが専用のCLIを公開するようになり、他のすべてのプロセス（停止中のプロセスも含む）と通信できるようになり、CLIに接続してその状態をチェックできるようになりました。一部のサイドカープログラムを開始してマスターからこれらのプログラムを監視することもできます。マスターはかなりの数のリロードを通じて存続しているプロセスを自動的に強制終了できます

  - 着信接続はすべてのスレッドでその負荷に応じて負荷分散されます。これにより処理時間を最小限に抑え、処理能力が最大限に引き出されます（ 1.9で導入済み）

  - SPOA応答時間の高いパーセンタイルを削減するために、SPOE接続の負荷分散が大幅に改善されました（1.9で導入済み）

  -「ランダム」負荷分散アルゴリズムとpower-of-two-choicesバリアントが導入されました

  - 特定の対象のスレッドごとのカウンターによる統計の改善およびすべての統計のためのprometheusエクスポーター

  - 多数のデバッグヘルプ。コアダンプをより容易に生成できるようになりました。CLIにさまざまな対象を制御する新しいコマンドが導入されました。スレッドデッドロックやスピニングタスクが検出される場合に適切に失敗するウォッチドッグが導入されました。これにより全体的に、現場での操作性が向上し、ユーザーと開発者の間での往復が減少します（このためインシデントにおけるストレスが軽減します）。

  - 3つのデバイス検出エンジンすべてにマルチスレッドとの互換性があり、外部での依存関係を必要とせずにビルドテストできます

  - 任意、サンプル、およびリゾルバーに対してDNS解決を実行する'do-resolve' http-requestアクションでは、ローカルリゾルバーのマッチングのために/etc/resolv.confの使用がサポートされるようになりました。

  - ログのサンプリングとバランシング：10のログごとに1つのログをサーバーに送信すること、またはロギングの負荷を複数のログサーバーに分散することができるようになりました。

  - 新しいSPOAエージェント（spoa_server）により、haproxyとPythonおよびLuaプログラムとのインターフェイスが実現します

  - Solarisのイベントポート（kqueueまたはepollに相当）のサポート。これにより、多数の接続を処理する場合のパフォーマンスが大幅に改善されます

  - 2.1で削除される予定の推奨されないいくつかのオプションについて警告が報告されるようになりました。 2.0は長期にわたりサポートされているため、至急変換する必要はありません。ただしこれらの警告が表示された場合は、数少ないケースに該当するため、これらのオプションを維持する場合にはリスクがあることを理解しておく必要があります。

  - 新しいSOCKS4サーバーサイドレイヤーが提供されました。これにより、SOCKS4プロキシ（ssh -Dなど）を介して発信接続を転送できます。

  -優先度とレイテンシーに対応したサーバーキュー：特定のリクエストに優先度を割り当てたり、タイムボーナスまたはペナルティを与えることができるようになりました。これにより、トラフィックの制御を細かく調整して、SLAに取り組むことができます。

  - 内部でアーキテクチャが大幅に再設計され、パフォーマンスをさらに向上でき、複数のレイヤーに渡るプロトコル（QUICなど）の実装が容易になりました。この作業は1.9で始まり2.1でも継続されます。

  - I/O、アプレット、タスクが、同じマルチスレッドスケジューラを共有するようになりました。これにより、すべてのタスクの間での応答性と公平性が大幅に向上します。これは、極端に負荷が高い場合でも常に即座に応答するCLIからも分かります（ 1.9で開始）

  - 内部バッファが再設計され、ゼロコピー操作が容易になりました。これにより、HTTP/1をHTTP / 2との間で転送する場合でも、高い帯域幅を維持することが可能です（1.9で導入済み）

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

This update for haproxy to version 2.0.5+git0.d905f49a fixes the following issues :

Security issue fixed :

  - CVE-2019-14241: Fixed a cookie memory corruption     problem. (bsc#1142529)

The update to 2.0.5 brings lots of features and bugfixes :

  - new internal native HTTP representation called HTX, was     already in 1.9 and is now enabled by default in 2.0

  - end-to-end HTTP/2 support including trailers and     continuation frames, as needed for gRPC ; HTTP/2 may     also be upgraded from HTTP/1.1 using the H2 preface;

  - server connection pooling and more advanced reuse, with     ALPN protocol negotiation (already in 1.9)

  - layer 7 retries, allowing to use 0-RTT and TCP Fast Open     to the servers as well as on the frontend

  - much more scalable multi-threading, which is even     enabled by default on platforms where it was     successfully tested ; by default, as many threads are     started as the number of CPUs haproxy is allowed to run     on. This removes a lot of configuration burden in VMs     and containers

  - automatic maxconn setting for the process and the     frontends, directly based on the number of available FDs     (easier configuration in containers and with systemd)

  - logging to stdout for use in containers and systemd     (already in 1.9). Logs can now provide micro-second     resolution for some events

  - peers now support SSL, declaration of multiple     stick-tables directly in the peers section, and     synchronization of server names, not just IDs

  - In master-worker mode, the master process now exposes     its own CLI and can communicate with all other processes     (including the stopping ones), even allowing to connect     to their CLI and check their state. It is also possible     to start some sidecar programs and monitor them from the     master, and the master can automatically kill old     processes that survived too many reloads

  - the incoming connections are load-balanced between all     threads depending on their load to minimize the     processing time and maximize the capacity (already in     1.9)

  - the SPOE connection load-balancing was significantly     improved in order to reduce high percentiles of SPOA     response time (already in 1.9)

  - the 'random' load balancing algorithm and a     power-of-two-choices variant were introduced

  - statistics improvements with per-thread counters for     certain things, and a prometheus exporter for all our     statistics;

  - lots of debugging help, it's easier to produce a core     dump, there are new commands on the CLI to control     various things, there is a watchdog to fail cleanly when     a thread deadlock or a spinning task are detected, so     overall it should provide a better experience in field     and less round trips between users and developers (hence     less stress during an incident).

  - all 3 device detection engines are now compatible with     multi-threading and can be build-tested without any     external dependencies

  - 'do-resolve' http-request action to perform a DNS     resolution on any, sample, and resolvers now support     relying on /etc/resolv.conf to match the local resolver

  - log sampling and balancing : it's now possible to send 1     log every 10 to a server, or to spread the logging load     over multiple log servers;

  - a new SPOA agent (spoa_server) allows to interface     haproxy with Python and Lua programs

  - support for Solaris' event ports (equivalent of kqueue     or epoll) which will significantly improve the     performance there when dealing with numerous connections

  - some warnings are now reported for some deprecated     options that will be removed in 2.1. Since 2.0 is long     term supported, there's no emergency to convert them,     however if you see these warnings, you need to     understand that you're among their extremely rare users     and just because of this you may be taking risks by     keeping them

  - A new SOCKS4 server-side layer was provided ; it allows     outgoing connections to be forwarded through a SOCKS4     proxy (such as ssh -D).

  - priority- and latency- aware server queues : it is     possible now to assign priorities to certain requests     and/or to give them a time bonus or penalty to refine     control of the traffic and be able to engage on SLAs.

  - internally the architecture was significantly redesigned     to allow to further improve performance and make it     easier to implement protocols that span over multiple     layers (such as QUIC). This work started in 1.9 and will     continue with 2.1.

  - the I/O, applets and tasks now share the same     multi-threaded scheduler, giving a much better     responsiveness and fairness between all tasks as is     visible with the CLI which always responds instantly     even under extreme loads (started in 1.9)

  - the internal buffers were redesigned to ease zero-copy     operations, so that it is possible to sustain a high     bandwidth even when forwarding HTTP/1 to/from HTTP/2     (already in 1.9)

This update was imported from the SUSE:SLE-15-SP1:Update update project.

ID	名稱	產品	系列	已發布	已更新	嚴重性
128726	Photon OS 1.0: Haproxy PHSA-2019-1.0-0249	Nessus	PhotonOS Local Security Checks	2019/9/12	2024/4/26	high
131280	openSUSE Security Update : haproxy (openSUSE-2019-2555)	Nessus	SuSE Local Security Checks	2019/11/25	2024/4/10	high
131281	openSUSEセキュリティ更新プログラム：haproxy（openSUSE-2019-2556）	Nessus	SuSE Local Security Checks	2019/11/25	2024/4/10	high
131280	openSUSEセキュリティ更新プログラム：haproxy（openSUSE-2019-2555）	Nessus	SuSE Local Security Checks	2019/11/25	2024/4/10	high
131281	openSUSE Security Update : haproxy (openSUSE-2019-2556)	Nessus	SuSE Local Security Checks	2019/11/25	2024/4/10	high
128731	Photon OS 3.0: Haproxy PHSA-2019-3.0-0026	Nessus	PhotonOS Local Security Checks	2019/9/12	2024/7/23	high

偵測

搜尋 Plugin

high

high

high

high

high

high