git-lfs-3.4.1-2.el8
エラータID: AXSA:2024-8248:04
以下項目について対処しました。
[Security Fix]
- Go の HTTP/2 プロトコルスタックには、CONTINUATION
フレームのサイズ制限の不備により任意のサイズのヘッダー
の読み取りを許容してしまう問題があるため、リモートの
攻撃者により、ヘッダー部にハフマン圧縮されたデータを
含むように細工された大量の CONTINUATION フレームの
送信を介して、サービス拒否攻撃 (リソース枯渇) を可能と
する脆弱性が存在します。(CVE-2023-45288)
- Go の net/http/cookiejar パッケージの http.Client() 関数
には、サブドメインが一致しない、もしくは最初のドメイン
と完全一致しないドメインへ HTTP リダイレクトを行う場合、
"Authorization" および "Cookie" などの機密情報を含む HTTP
ヘッダーを転送しない問題があるため、リモートの攻撃者に
より、細工された HTTP リダイレクトを介して、HTTP
ヘッダーの漏洩などを可能とする脆弱性が存在します。
(CVE-2023-45289)
- Go の net/http パッケージの ParseMultipartForm() 関数
には、すべてのフォームの解析時に適用するメモリサイズ
の制限値がそれぞれのフォームの解析処理時には適用され
ない問題があるため、リモートの攻撃者により、非常に
長い行を含むように細工された入力を介して、サービス
拒否攻撃 (メモリ枯渇) を可能とする脆弱性が存在します。
(CVE-2023-45290)
- Go の crypto/x509 パッケージの Certificate.Verify() 関数
には、不明な公開鍵アルゴリズムが設定された証明書を
含む証明書チェーンの検証処理に問題があるため、リモート
の攻撃者により、巧妙に細工された証明書の検証処理を
介して、サービス拒否攻撃を可能とする脆弱性が存在
します。(CVE-2024-24783)
パッケージをアップデートしてください。
An attacker may cause an HTTP/2 endpoint to read arbitrary amounts of header data by sending an excessive number of CONTINUATION frames. Maintaining HPACK state requires parsing and processing all HEADERS and CONTINUATION frames on a connection. When a request's headers exceed MaxHeaderBytes, no memory is allocated to store the excess headers, but they are still parsed. This permits an attacker to cause an HTTP/2 endpoint to read arbitrary amounts of header data, all associated with a request which is going to be rejected. These headers can include Huffman-encoded data which is significantly more expensive for the receiver to decode than for an attacker to send. The fix sets a limit on the amount of excess header frames we will process before closing a connection.
When following an HTTP redirect to a domain which is not a subdomain match or exact match of the initial domain, an http.Client does not forward sensitive headers such as "Authorization" or "Cookie". For example, a redirect from foo.com to www.foo.com will forward the Authorization header, but a redirect to bar.com will not. A maliciously crafted HTTP redirect could cause sensitive headers to be unexpectedly forwarded.
When parsing a multipart form (either explicitly with Request.ParseMultipartForm or implicitly with Request.FormValue, Request.PostFormValue, or Request.FormFile), limits on the total size of the parsed form were not applied to the memory consumed while reading a single form line. This permits a maliciously crafted input containing very long lines to cause allocation of arbitrarily large amounts of memory, potentially leading to memory exhaustion. With fix, the ParseMultipartForm function now correctly limits the maximum size of form lines.
Verifying a certificate chain which contains a certificate with an unknown public key algorithm will cause Certificate.Verify to panic. This affects all crypto/tls clients, and servers that set Config.ClientAuth to VerifyClientCertIfGiven or RequireAndVerifyClientCert. The default behavior is for TLS servers to not verify client certificates.
N/A
SRPMS
- git-lfs-3.4.1-2.el8.src.rpm
MD5: e6162283a06bf8b8799bcf24084dd09c
SHA-256: 56aeb1f526d9b29c6d9d7b7b1feee0b9b6d84dd9515d206bb60790832221ae7e
Size: 3.37 MB
Asianux Server 8 for x86_64
- git-lfs-3.4.1-2.el8.x86_64.rpm
MD5: 7927b68ef9cddce5b002d2d3490250e6
SHA-256: 2d2705070c05211fa50477a3cc68c5f33d6805b5734ec62064a2e833bbec13bf
Size: 4.23 MB
English