An update of the envoy package has been released.

This update for nghttp2 fixes the following issues :

nghttp2 was update to version 1.40.0 (bsc#1166481)

lib: Add nghttp2_check_authority as public API

lib: Fix the bug that stream is closed with wrong error code

lib: Faster huffman encoding and decoding

build: Avoid filename collision of static and dynamic lib

build: Add new flag ENABLE_STATIC_CRT for Windows

build: cmake: Support building nghttpx with systemd

third-party: Update neverbleed to fix memory leak

nghttpx: Fix bug that mruby is incorrectly shared between backends

nghttpx: Reconnect h1 backend if it lost connection before sending headers

nghttpx: Returns 408 if backend timed out before sending headers

nghttpx: Fix request stal

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for nghttp2 fixes the following issues :

nghttp2 was update to version 1.40.0 (bsc#1166481)

  - lib: Add nghttp2_check_authority as public API

  - lib: Fix the bug that stream is closed with wrong error     code

  - lib: Faster huffman encoding and decoding

  - build: Avoid filename collision of static and dynamic     lib

  - build: Add new flag ENABLE_STATIC_CRT for Windows

  - build: cmake: Support building nghttpx with systemd

  - third-party: Update neverbleed to fix memory leak

  - nghttpx: Fix bug that mruby is incorrectly shared     between backends

  - nghttpx: Reconnect h1 backend if it lost connection     before sending headers

  - nghttpx: Returns 408 if backend timed out before sending     headers

  - nghttpx: Fix request stal

This update was imported from the SUSE:SLE-15:Update update project.

このnghttp2の更新では、次の問題を修正します：

nghttp2がバージョン1.40.0に更新しました （bsc#1166481）

  - lib：nghttp2_check_authorityをパブリックAPIとして追加します

  - lib：ストリームが間違ったエラーコードで閉じられるバグを修正します

  - lib：ハフマン符号化とハフマン復号化を高速化します

  - build：静的libと動的libのファイル名衝突を回避します

  - build：Windows用の新しいフラグENABLE_STATIC_CRTを追加します

  - build：cmake：systemdでnghttpxのビルドをサポートします

  - サードパーティ：メモリリークを修正するようにneverbleedを更新します

  - nghttpx：mrubyがバックエンド間で不正に共有されるバグを修正します

  - nghttpx：ヘッダーを送信する前に接続を失った場合にh1バックエンドを再接続します

  - nghttpx：ヘッダーを送信する前にバックエンドがタイムアウトした場合に408を返します

  - nghttpx：リクエストstalを修正します

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

このnghttp2の更新では、次の問題が修正されます：

nghttp2がバージョン1.40.0に更新されました（bsc#1166481）

  - lib：nghttp2_check_authorityをパブリックAPIとして追加します

  - lib：ストリームが間違ったエラーコードで閉じられるバグを修正します

  - lib：ハフマン符号化とハフマン復号化を高速化します

  - build：静的libと動的libのファイル名衝突を回避します

  - build：Windows用の新しいフラグENABLE_STATIC_CRTを追加します

  - build：cmake：systemdでnghttpxのビルドをサポートします

  - サードパーティ：メモリリークを修正するようにneverbleedを更新します

  - nghttpx：mrubyがバックエンド間で不正に共有されるバグを修正します

  - nghttpx：ヘッダーを送信する前に接続を失った場合にh1バックエンドを再接続します

  - nghttpx：ヘッダーを送信する前にバックエンドがタイムアウトした場合に408を返します

  - nghttpx：リクエストstalを修正します

この更新はSUSEからインポートされました：SLE-15: 更新プロジェクトを更新します。

このnghttp2の更新では、次の問題を修正します：

nghttp2がバージョン1.40.0に更新しました （bsc#1166481）

lib：nghttp2_check_authorityをパブリックAPIとして追加します

lib：ストリームが間違ったエラーコードで閉じられるバグを修正します

lib：ハフマン符号化とハフマン復号化を高速化します

build：静的libと動的libのファイル名衝突を回避します

build：Windows用の新しいフラグENABLE_STATIC_CRTを追加します

build：cmake：systemdでnghttpxのビルドをサポートします

サードパーティ：メモリリークを修正するようにneverbleedを更新します

nghttpx：mrubyがバックエンド間で正しく共有されないバグを修正します

nghttpx：ヘッダーを送信する前に接続を失った場合にh1バックエンドを再接続します

nghttpx：ヘッダーを送信する前にバックエンドがタイムアウトした場合に408を返します

nghttpx：リクエストstalを修正します

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Red Hat OpenShift Service Mesh 1.0.3. Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重大と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Service Meshは、オンプレミスのOpenShift Container Platformインストールへのインストール用に調整された、Red Hatが提供するIstioサービスメッシュプロジェクトです。このアドバイザリは、OpenShift Service Mesh 1.0.3リリースのRPMパッケージを対象としています。セキュリティ修正プログラム：*アップストリームがHTTP/1のとき、信頼されないリモートのクライアントがヒープに書き込むHTTP/2リクエストをリクエストバッファの外に送信する可能性があります（CVE-2019-18801）*不正な形式のリクエストヘッダーがルートマッチャーのバイパスの原因となり、権限の昇格または情報漏えいを引き起こす可能性があります（CVE-2019-18802）*ホストヘッダーのない不正な形式のHTTPリクエストがEnvoy処理の異常終了を引き起こす可能性があります（CVE-2019-18838）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

Red Hat OpenShift Service Mesh 1.0.3。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat OpenShift 服务网格是 Red Hat 的 Istio 服务网格项目发行版，专供本地 OpenShift 容器平台安装使用。本公告涵盖适用于 OpenShift Service Mesh 1.0.3 版本的 RPM 程序包。安全修复：* 当上游为 HTTP/1 时，未受信任的远程客户端可能会发送 HTTP/2 请求写入请求缓冲区以外的堆 (CVE-2019-18801) * 畸形的请求标头可能会造成绕过路由匹配程序，从而导致权限提升或信息泄露 (CVE-2019-18802) * 不带有主机标头的畸形 HTTP 请求可能会造成 Envoy 进程异常终止 (CVE-2019-18838) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Red Hat OpenShift 服務網格 1.0.3。Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat OpenShift 服務網格是 Red Hat 的 Istio 服務網格專案發行版，專供內部部署 OpenShift 容器平台安裝使用。本公告涵蓋 OpenShift 服務網格 1.0.3 版本的 RPM 套件。安全性修正：* 上游為 HTTP/1 時，非受信任的遠端用戶端可能傳送寫入要求緩衝區外堆積的 HTTP/2 要求 (CVE-2019-18801) * 格式錯誤的要求標頭可能造成繞過路由比對器，進而導致權限提升，或資訊洩漏 (CVE-2019-18802) * 無 Host 標頭的格式錯誤 HTTP 要求可能造成 Envoy 處理程序異常終止 (CVE-2019-18838) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Red Hat OpenShift Service Mesh 1.0.3.

Red Hat Product Security has rated this update as having a security impact of Critical. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Red Hat OpenShift Service Mesh is Red Hat's distribution of the Istio service mesh project, tailored for installation into an on-premise OpenShift Container Platform installation.

This advisory covers the RPM packages for the OpenShift Service Mesh 1.0.3 release.

Security Fix(es) :

* An untrusted remote client may send HTTP/2 requests that write to the heap outside of the request buffers when the upstream is HTTP/1 (CVE-2019-18801)

* Malformed request header may cause bypass of route matchers resulting in escalation of privileges or information disclosure (CVE-2019-18802)

* Malformed HTTP request without the Host header may cause abnormal termination of the Envoy process (CVE-2019-18838)

For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and other related information, refer to the CVE page(s) listed in the References section.

ID	名稱	產品	系列	已發布	已更新	嚴重性
133687	Photon OS 2.0: Envoy PHSA-2020-2.0-0207	Nessus	PhotonOS Local Security Checks	2020/2/13	2024/7/23	critical
134757	SUSE SLED15 / SLES15 Security Update : nghttp2 (SUSE-SU-2020:0722-1)	Nessus	SuSE Local Security Checks	2020/3/20	2024/3/21	critical
134934	openSUSE Security Update : nghttp2 (openSUSE-2020-379)	Nessus	SuSE Local Security Checks	2020/3/26	2024/3/20	critical
146918	openSUSE Security Update : nghttp2 (openSUSE-2021-341)	Nessus	SuSE Local Security Checks	2021/3/1	2024/1/18	critical
134934	openSUSEセキュリティ更新プログラム：nghttp2（openSUSE-2020-379）	Nessus	SuSE Local Security Checks	2020/3/26	2024/3/20	critical
146918	openSUSEセキュリティ更新プログラム：nghttp2（openSUSE-2021-341）	Nessus	SuSE Local Security Checks	2021/3/1	2024/1/18	critical
134757	SUSE SLED15 / SLES15セキュリティ更新プログラム：nghttp2（SUSE-SU-2020:0722-1）	Nessus	SuSE Local Security Checks	2020/3/20	2024/3/21	critical
132031	RHEL 8：Red Hat OpenShift Service Mesh 1.0.3のRPM（RHSA-2019:4222）	Nessus	Red Hat Local Security Checks	2019/12/13	2024/4/4	critical
132031	RHEL 8 : Red Hat OpenShift Service Mesh 1.0.3 RPMs (RHSA-2019:4222)	Nessus	Red Hat Local Security Checks	2019/12/13	2024/4/4	critical
132031	RHEL 8：Red Hat OpenShift 服務網格 1.0.3 RPM (RHSA-2019:4222)	Nessus	Red Hat Local Security Checks	2019/12/13	2024/4/4	critical
132031	RHEL 8 : Red Hat OpenShift Service Mesh 1.0.3 RPMs (RHSA-2019:4222)	Nessus	Red Hat Local Security Checks	2019/12/13	2024/4/4	critical
134206	Photon OS 1.0: Envoy PHSA-2020-1.0-0281	Nessus	PhotonOS Local Security Checks	2020/3/2	2024/3/25	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical