Die neuen Bareos Maintenance-Releases 25.1.2, 24.0.12 und 23.1.9 enthalten mehrere Sicherheitsfixes für den Bareos Director und das WebUI. Wir empfehlen dringend, mindestens Director und WebUI zeitnah zu aktualisieren.
Wir empfehlen ein Upgrade auf die jeweils neueste Version Ihres Bareos-Zweigs. Wenn Sie Unterstützung beim Upgrade oder bei der weiteren Planung Ihrer Backup-Strategie wünschen, helfen Ihnen unsere Experten gern, auch bei Fragen rund um Open Source im Allgemeinen. Sprechen Sie uns an.
Sicherheitsfixes in allen drei Releases
- Director: SQL-Injection und Informationsoffenlegung im Befehl
restorebehoben (GHSA-m2qm-v5vc-5qwh, GHSA-2p2p-6cfv-wvgm) - Director: mögliche SQL-Injection in den bconsole-Befehlen
listundllistbehoben (GHSA-7xg8-c72r-8749) - Director: Stack-Buffer-Overflow beim Escapen des Uname des File Daemons behoben (GHSA-wrg9-8743-vhp2)
- WebUI: Schutzmaßnahmen gegen Cross-Site Request Forgery bei administrativen Aktionen im PHP-basierten WebUI ergänzt (GHSA-m2rp-8jr9-qvp2)
Wichtig:
Für FreeBSD 13 werden keine neuen Pakete mehr bereitgestellt, da das System sein Support-Ende erreicht hat.
Vor dem Update!
Wenn Sie das Bareos WebUI hinter einem Reverse-Proxy betreiben, müssen Sie künftig die Einstellungtrusted_proxiesin der WebUI-Konfiguration setzen.
Zusätzliche Änderungen in Bareos 25.1.2 und 24.0.12
- Abgeschnittene Daten beim Purgen von Volumes behoben
- Problem bei der automatischen Selbstheilung des Katalogs bei Volume-Abweichungen behoben
- Problem bei der Verwendung der Python-API behoben
Zusätzliche Änderungen nur in Bareos 25.1.2
- Möglichen Absturz des Directors beim Abbrechen eines doppelten Jobs behoben
- Möglichen Absturz des Directors beim Neuladen der Konfiguration behoben
- Debian: fehlende Daten aus
/etc/postgresqlin den Plugins ergänzt - Pakete für FreeBSD 15 stehen jetzt zur Verfügung
- Vue-Abhängigkeiten des neuen WebUI aktualisiert
Wir empfehlen ein Upgrade auf das jeweils neueste Maintenance-Release Ihres Bareos-Zweigs.
Downloads und Changelogs