vulnerable ...

[k0ns0l3]

Hallo  ,
wenn ich das Security Audit durchführe kommen folgende Fehler:

Audit erledigt.

***GOT REQUEST TO AUDIT SECURITY***
Fetching vuln.xml.bz2: .......... done
clamav-0.101.2,1 is vulnerable:
clamav -- multiple vulnerabilities
CVE: CVE-2019-12900
CVE: CVE-2019-12625
WWW: https://vuxml.FreeBSD.org/freebsd/dbd1f627-c43b-11e9-a923-9c5c8e75236a.html

libnghttp2-1.39.1_1 is vulnerable:
nghttp2 -- multiple vulnerabilities
CVE: CVE-2019-9513
CVE: CVE-2019-9511
WWW: https://vuxml.FreeBSD.org/freebsd/121fec01-c042-11e9-a73f-b36f5969f162.html

2 problem(s) in the installed packages found.
***DONE***

Danke für Eure Erläuterung!

MfG k0ns0l3

[hbc]

https://forum.opnsense.org/index.php?topic=13571.msg62475#msg62475

Sollte man mal sticky setzen oder einen FAQ Eintrag setzen. Aber dann müßten die Leute ja auch wieder die Forensuche nutzen. 

[fabian]

nghttp klingt nach nginx oder haproxy, die eine Abhängigkeit haben. Der Beschreibung nach kann man dir den Webserver / Load Balancer abschießen aber kommt zumindest nicht ins Netz.

Das mit ClamAV ist kritischer, da ZIP-Bomben die ganze Appliance lahm legen können.

Das sind beides externe Ports - d. h. die werden sicher beim nächsten Update gefixt werden.

[k0ns0l3]

nghttp klingt nach nginx oder haproxy, die eine Abhängigkeit haben. Der Beschreibung nach kann man dir den Webserver / Load Balancer abschießen aber kommt zumindest nicht ins Netz.

Das mit ClamAV ist kritischer, da ZIP-Bomben die ganze Appliance lahm legen können.

Das sind beides externe Ports - d. h. die werden sicher beim nächsten Update gefixt werden.

Danke für die Unterstützung

[franco]

Ist beides in 19.7.3 für morgen drin, ob jetzt direkt der brandneue Audit im Forum ist oder nicht. Wir bekommen alle die gleichen Infos da raus.


Grüsse
Franco