git-lfs-3.4.1-2.el9_4
エラータID: AXSA:2024-8148:03
以下項目について対処しました。
[Security Fix]
- Go の HTTP/2 プロトコルスタックには、CONTINUATION
フレームのサイズ制限の不備により任意のサイズのヘッダー
の読み取りを許容してしまう問題があるため、リモートの
攻撃者により、ヘッダー部にハフマン圧縮されたデータを
含むように細工された大量の CONTINUATION フレームの
送信を介して、サービス拒否攻撃 (リソース枯渇) を可能と
する脆弱性が存在します。(CVE-2023-45288)
- Go の net/http/cookiejar パッケージの http.Client() 関数
には、サブドメインが一致しない、もしくは最初のドメイン
と完全一致しないドメインへ HTTP リダイレクトを行う場合、
"Authorization" および "Cookie" などの機密情報を含む HTTP
ヘッダーを転送しない問題があるため、リモートの攻撃者
により、細工された HTTP リダイレクトを介して、HTTP
ヘッダーの漏洩などを可能とする脆弱性が存在します。
(CVE-2023-45289)
- Go の net/http パッケージの ParseMultipartForm() 関数には、
すべてのフォームの解析時に適用するメモリサイズの制限値
がそれぞれのフォームの解析処理時には適用されない問題が
あるため、リモートの攻撃者により、非常に長い行を含むよう
に細工された入力を介して、サービス拒否攻撃 (メモリ枯渇)
を可能とする脆弱性が存在します。(CVE-2023-45290)
- Go の crypto/x509 パッケージの Certificate.Verify() 関数には、
不明な公開鍵アルゴリズムが設定された証明書を含む証明書
チェーンの検証処理に問題があるため、リモートの攻撃者に
より、巧妙に細工された証明書の検証処理を介して、サービス
拒否攻撃を可能とする脆弱性が存在します。(CVE-2024-24783)
パッケージをアップデートしてください。
An attacker may cause an HTTP/2 endpoint to read arbitrary amounts of header data by sending an excessive number of CONTINUATION frames. Maintaining HPACK state requires parsing and processing all HEADERS and CONTINUATION frames on a connection. When a request's headers exceed MaxHeaderBytes, no memory is allocated to store the excess headers, but they are still parsed. This permits an attacker to cause an HTTP/2 endpoint to read arbitrary amounts of header data, all associated with a request which is going to be rejected. These headers can include Huffman-encoded data which is significantly more expensive for the receiver to decode than for an attacker to send. The fix sets a limit on the amount of excess header frames we will process before closing a connection.
When following an HTTP redirect to a domain which is not a subdomain match or exact match of the initial domain, an http.Client does not forward sensitive headers such as "Authorization" or "Cookie". For example, a redirect from foo.com to www.foo.com will forward the Authorization header, but a redirect to bar.com will not. A maliciously crafted HTTP redirect could cause sensitive headers to be unexpectedly forwarded.
When parsing a multipart form (either explicitly with Request.ParseMultipartForm or implicitly with Request.FormValue, Request.PostFormValue, or Request.FormFile), limits on the total size of the parsed form were not applied to the memory consumed while reading a single form line. This permits a maliciously crafted input containing very long lines to cause allocation of arbitrarily large amounts of memory, potentially leading to memory exhaustion. With fix, the ParseMultipartForm function now correctly limits the maximum size of form lines.
Verifying a certificate chain which contains a certificate with an unknown public key algorithm will cause Certificate.Verify to panic. This affects all crypto/tls clients, and servers that set Config.ClientAuth to VerifyClientCertIfGiven or RequireAndVerifyClientCert. The default behavior is for TLS servers to not verify client certificates.
N/A
SRPMS
- git-lfs-3.4.1-2.el9_4.src.rpm
MD5: 048f02c99833d659ca83ccaca2ddc1b8
SHA-256: 45b7d48812264c5080ea769a573c42e3869a616bffbac8c483d011fbae8ef656
Size: 3.33 MB
Asianux Server 9 for x86_64
- git-lfs-3.4.1-2.el9_4.x86_64.rpm
MD5: bb7f6b77888ecb1ddbf16a986bfc3111
SHA-256: 621a22bc97732b6a97b1a528a2ff23d0ae133dca210a21517bb31bd6d50e50e5
Size: 4.19 MB
English