Bulletin d'alerte Debian

DSA-3924-1 varnish -- Mise à jour de sécurité

Date du rapport :
2 août 2017
Paquets concernés :
varnish
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 870467.
Dans le dictionnaire CVE du Mitre : CVE-2017-12425.
Plus de précisions :

Une vulnérabilité de déni de service a été découverte dans Varnish, un accélérateur web de pointe et à haute performance. Des requêtes HTTP contrefaites pour l'occasion peuvent provoquer une assertion et le redémarrage du démon Varnish, nettoyant le contenu du cache dans le processus.

Voir https://varnish-cache.org/security/VSV00001.html pour davantage de détails.

Pour la distribution oldstable (Jessie), ce problème a été corrigé dans la version 4.0.2-1+deb8u1.

Pour la distribution stable (Stretch), ce problème a été corrigé dans la version 5.0.0-7+deb9u1.

Nous vous recommandons de mettre à jour vos paquets varnish.