Security: apache2 (2.4.38-3+deb10u1)

[Daniel Baumann]

Hallo zusammen

Mitte August wurden einige Probleme im HTTP/2 Protokoll entdeckt
(unabhaengig von eingesetzten Webserver):


https://www.golem.de/news/webserver-denial-of-service-angriffe-gegen-http-2-1908-143203.html

https://www.heise.de/security/meldung/DoS-Attacken-Viele-Web-Server-mit-HTTP-2-angreifbar-4496647.html

Wir haben zum selben Zeitunkt die Luecken bereits durch die von uns
eingesetzten Backports von Apache 2.4.41 gefixt:

  https://lists.bfh.science/pipermail/bfh-linux-news/2019-August/000074.html

Wie in obiger Mail angetoent, dauert es immer eine Weile bis solche Bugs
in einem Debian stable release gefixt werden koennen. Dies ist gestern
geschehen:

  https://www.debian.org/security/2019/dsa-4509

Wir haben ensprechend diese Pakete fuer Buster mit unseren Anpassungen
synchronisiert und ins Repository hochgeladen.

Wir empfehlen allerdings nach wie vor, nicht die Version aus buster zu
verwenden, sondern die Backports da diese sicherer/fehlerfreier sind.

Gruesse,
Daniel

-- 
Berner Fachhochschule / Bern University of Applied Sciences
Services / IT-Services
Daniel Baumann
Teamleiter Linux Services
___________________________________________________________
Dammweg 3, CH-3013 Bern
Telefon direkt +41 31 848 48 22
Telefon Servicedesk +41 31 848 48 48
daniel.baumann at bfh.ch
https://bfh.ch
https://bfh.science