2.1.30

Một bản phát hành kiểm toán. Hãy cập nhật — tường lửa ứng dụng web đã không chạy trên bất kỳ máy chủ nào đã cài nó.

Đã sửa​

• Tường lửa không đọc được khoá chủ của chính nó. hitechcloudwaf -check dựng cùng trạng thái mà dịch vụ dựng, và việc dựng trạng thái đó tạo khoá khi chưa có — nên một lần kiểm tra trước khi chạy bằng root đã tạo một khoá thuộc root, và dịch vụ, chạy bằng tài khoản riêng của nó, thất bại ở mọi lần khởi động với "permission denied". Trên máy chủ nơi lỗi này được tìm ra, systemd đã đếm 12.968 lần khởi động lại. Không gì nói ra: unit luôn khởi động lại và panel vẫn liệt kê tường lửa như một tính năng.

  Một lần kiểm tra giờ không ghi gì. Dịch vụ tạo khoá ở lần khởi động thật đầu tiên, bằng tài khoản mà nó chạy, và native-waf sửa quyền sở hữu trên toàn thư mục của nó thay vì chỉ các tệp theo từng website — nên một máy chủ đã ở trạng thái này tự sửa vào lần tới khi tường lửa được đụng tới.

• Unit của tường lửa yêu cầu systemd đừng bỏ cuộc, trong một mục mà systemd bỏ qua. StartLimitIntervalSec thuộc về [Unit]; trong [Service] nó không được gì đọc, và mặc định được áp dụng thay thế — năm lần khởi động trong mười giây rồi dừng. Nên nó không thử mãi với khoá không đọc được, nó dừng sau mười giây và ở yên đó dừng, trong khi tệp unit nói bằng lời rõ ràng rằng nó sẽ tiếp tục thử.

• Document Root mở sai thư mục trên mọi trang ứng dụng. Cùng lỗi đã sửa ở các bảng tên miền và FTP trong 2.1.29, ở mười chín mẫu nữa và năm mươi bảy nơi nữa: liên kết được dựng bằng cách gỡ /var/www/html/ khỏi đầu thư mục gốc tài liệu, vốn là bố cục container. Ở dạng native không có gì bị gỡ và đường dẫn bị phân giải dưới thư mục home của tài khoản lần thứ hai, nên mọi liên kết đó đều trả lời "Directory does not exist".

Ghi chú​

Không có gì để di chuyển. Bản cập nhật thay các tập lệnh, tệp nhị phân và một tệp unit, rồi sửa quyền sở hữu của tường lửa và khởi động lại nó nếu nó được cài.

Về lần quét bảo mật. Cả hai tệp nhị phân Go đều báo không có đường mã dễ bị tổn thương. Hai khuyến cáo có mặt trong các phụ thuộc và không cái nào có bản phát hành đã sửa: một trong gorilla/csrf, mà tính năng dễ bị tổn thương của nó sản phẩm này không dùng và lớp lỗi của nó đã được sửa riêng trong kiểm tra nguồn gốc ở 2.1.29; một trong golang.org/x/crypto/openpgp, mà không gì ở đây import. Các phụ thuộc của webmail sạch. Website tài liệu mang hai mươi phát hiện mức cao mà đều truy về một gói đo ảnh dùng lúc build, trên các ảnh của chính website, không có phiên bản vá nào được công bố — được ghi lại thay vì tìm cách lách.

Về kiểm toán đường dẫn. Hai lỗi đường dẫn đằng sau các lỗi của tuần này đã được tìm ở mọi nơi thay vì chờ đợi. Các đường dẫn container còn lại trong Go là mẫu dịch-rồi-dùng, vốn an toàn: một đường dẫn native đã là đường dẫn host, nên phép dịch không làm gì. Chính việc trừ một tiền tố mới làm hỏng, và mọi trường hợp như vậy đã được gỡ.