远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2020:4756 中提及的多个漏洞的影响。

  - 在 6.0.4 LTS 以及 6.2.1 之前的 6.1.x 和 6.2.x 的 Varnish Cache 中发现了一个问题。HTTP/1 解析失败让远程攻击者可以通过发送构建的 HTTP/1 请求触发断言。该断言将借助清除缓存导致自动重新启动，从而使其成为拒绝服务攻击。
    (CVE-2019-15892)

  - 在 6.0.5 LTS、6.2.2 之前的 6.1.x 和 6.2.x、6.3.1 之前的 6.3.x 的 Varnish Cache 中发现了一个问题。该问题不会清除相同连接中处理一个客户端请求与下一个请求之间的指针。这有时会导致连接工作空间中的信息泄露，例如与此连接中的先前请求相关的数据结构，或与 VCL 相关的临时标头。(CVE-2019-20637)

  - 在 6.0.6 LTS、6.2.3 之前的 6.1.x 和 6.2.x、6.3.2 之前的 6.3.x 的 Varnish Cache 中发现了一个问题。与 TLS 终止代理的通信使用 PROXY 版本 2 时会发生此问题。可能存在断言失败和后台程序重新启动，从而导致性能降低。(CVE-2020-11653)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Rocky Linux 8varnish:6 (RLSA-2020:4756)

high Nessus 插件 ID 184825

版本 1.0