The fail2ban tool was updated to version 0.8.12 to fix various security issues and also brings bugfixes and features.

Security issues fixed: A remote unauthenticated attacker may cause arbitrary IP addresses to be blocked by Fail2ban causing legitimate users to be blocked from accessing services protected by Fail2ban.
CVE-2013-7177 (cyrus-imap) and CVE-2013-7176 (postfix)

  - Use new flushlogs syntax after logrotate

  - Update to version 0.8.12

  - Log rotation can now occur with the command 'flushlogs'     rather than reloading fail2ban or keeping the logtarget     settings consistent in jail.conf/local and     /etc/logrotate.d/fail2ban. (dep#697333, rh#891798).

  - Added ignorecommand option for allowing dynamic     determination as to ignore and IP or not.

  - Remove indentation of name and loglevel while logging to     SYSLOG to resolve syslog(-ng) parsing problems.
    (dep#730202). Log lines now also report '[PID]' after     the name portion too.

  - Epoch dates can now be enclosed within []

  - New actions: badips, firewallcmd-ipset, ufw,     blocklist_de

  - New filters: solid-pop3d, nsd, openwebmail, horde,     freeswitch, squid, ejabberd, openwebmail, groupoffice

  - Filter improvements :

  - apache-noscript now includes php cgi scripts

  - exim-spam filter to match spamassassin log entry for     option SAdevnull.

  - Added to sshd filter expression for 'Received disconnect     from : 3: Auth fail'

  - Improved ACL-handling for Asterisk

  - Added improper command pipelining to postfix filter.

  - General fixes :

  - Added lots of jail.conf entries for missing filters that     creaped in over the last year.

  - synchat changed to use push method which verifies     whether all data was send. This ensures that all data is     sent before closing the connection.

  - Fixed python 2.4 compatibility (as sub-second in date     patterns weren't 2.4 compatible)

  - Complain/email actions fixed to only include relevant     IPs to reporting

  - Filter fixes :

  - Added HTTP referrer bit of the apache access log to the     apache filters.

  - Apache 2.4 perfork regexes fixed

  - Kernel syslog expression can have leading spaces

  - allow for ',milliseconds' in the custom date format of     proftpd.log

  - recidive jail to block all protocols

  - smtps not a IANA standard so may be missing from     /etc/services. Due to (still) common use 465 has been     used as the explicit port number

  - Filter dovecot reordered session and TLS items in regex     with wider scope for session characters

  - Ugly Fixes (Potentially incompatible changes) :

  - Unfortunately at the end of last release when the action     firewall-cmd-direct-new was added it was too long and     had a broken action check. The action was renamed to     firewallcmd-new to fit within jail name name length.
    (gh#fail2ban/fail2ban#395).

  - Last release added mysqld-syslog-iptables as a jail     configuration. This jailname was too long and it has     been renamed to mysqld-syslog.

  - Fixed formating of github references in changelog

  - reformatted spec-file



  - Update to version 0.8.11

  - In light of CVE-2013-2178 that triggered our last     release we have put a significant effort into tightening     all of the regexs of our filters to avoid another     similar vulnerability. We haven't examined all of these     for a potential DoS scenario however it is possible that     another DoS vulnerability exists that is fixed by this     release. A large number of filters have been updated to     include more failure regexs supporting previously     unbanned failures and support newer application versions     too. We have test cases for most of these now however if     you have other examples that demonstrate that a filter     is insufficient we welcome your feedback. During the     tightening of the regexs to avoid DoS vulnerabilities     there is the possibility that we have inadvertently,     despite our best intentions, incorrectly allowed a     failure to continue.

    Addresses a possible DoS. Closes     gh#fail2ban/fail2ban#248, bnc#824710 within [Init].
    Closes gh#fail2ban/fail2ban#232

  - Updates to asterisk filter. Closes     gh#fail2ban/fail2ban#227, gh#fail2ban/fail2ban#230.

  - Updates to asterisk to include AUTH_UNKNOWN_DOMAIN.
    Closes gh#fail2ban/fail2ban#244. on Fedora. Closes     gh#fail2ban/fail2ban#112. Thanks to Camusensei for the     bug report. insight. Closes gh#fail2ban/fail2ban#103.

  - [f2156604] pyinotify -- monitor IN_MOVED_TO events.
    Closes gh#fail2ban/fail2ban#184. Thanks to Jon Foster     for report and troubleshooting. Orion Poplawski

  - [39667ff6] Avoid leaking file descriptors. Closes     gh#fail2ban/fail2ban#167. Closes     gh#fail2ban/fail2ban#147, gh#fail2ban/fail2ban#148.

  - [b6a68f51] Fix delaction on server side. Closes     gh#fail2ban/fail2ban#124. the fail2ban-client. Closes     gh#fail2ban/fail2ban#134. gh#fail2ban/fail2ban#70.
    Thanks to iGeorgeX for the idea.

  - [96eb8986] ' and ' should also be escaped in action tags     Closes gh#fail2ban/fail2ban#109 beilber for the idea.
    Closes gh#fail2ban/fail2ban#114. fail2ban is running.
    Closes gh#fail2ban/fail2ban#166.

  - [29d0df5] Add mysqld filter. Closes     gh#fail2ban/fail2ban#152.

  - [bba3fd8] Add Sogo filter. Closes     gh#fail2ban/fail2ban#117.

  - [be06b1b] Add action for iptables-ipsets. Closes     gh#fail2ban/fail2ban#102.

  - [f336d9f] Add filter for webmin. Closes     gh#fail2ban/fail2ban#99. consistently. Closes     gh#fail2ban/fail2ban#172.

  - [b36835f] Add get cinfo to fail2ban-client. Closes     gh#fail2ban/fail2ban#124. Closes     gh#fail2ban/fail2ban#142. Closes     gh#fail2ban/fail2ban#126. Bug report by Michael     Heuberger.

  - [3aeb1a9] Add jail.conf manual page. Closes     gh#fail2ban/fail2ban#143. banning due to misconfigured     DNS. Close gh#fail2ban/fail2ban#64

  - [0935566,5becaf8] Various python 2.4 and 2.5     compatibility fixes. Close gh#fail2ban/fail2ban#83 in     the console. Close gh#fail2ban/fail2ban#91 the log file     to take 'banip' or 'unbanip' in effect. Close     gh#fail2ban/fail2ban#81, gh#fail2ban/fail2ban#86

  - [f52ba99] downgraded 'already banned' from WARN to INFO     level. Closes gh#fail2ban/fail2ban#79 for this     gh#fail2ban/fail2ban#87) message stays non-unicode.
    Close gh#fail2ban/fail2ban#32 friend to developers stuck     with Windows (Closes gh#fail2ban/fail2ban#66) repeated     offenders. Close gh#fail2ban/fail2ban#19 Close     gh#fail2ban/fail2ban#47 (Closes: #669063)

- Use anchored failregex for filters to avoid possible     DoS. Manually picked up from the current status of 0.8     branch (as of 0.8.13-29-g09b2016) :

  - CVE-2013-7176: postfix.conf - anchored on the front,     expects 'postfix/smtpd' prefix in the log line

  - CVE-2013-7177: cyrus-imap.conf - anchored on the front,     and refactored to have a single failregex

  - couriersmtp.conf - anchored on both sides

  - exim.conf - front-anchored versions picked up from     exim.conf and exim-spam.conf

  - lighttpd-fastcgi.conf - front-anchored picked up from     suhosin.conf (copied from the Wheezy version)

  - Catch also failed logins via secured (imaps/pop3s) for     cyrus-imap. Regression was introduced while     strengthening failregex in 0.8.11 (bd175f) Debian bug     #755173

  - cyrus-imap: catch 'user not found' attempts

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Two vulnerabilities were discovered in Fail2ban, a solution to ban hosts that cause multiple authentication errors. When using Fail2ban to monitor Postfix or Cyrus IMAP logs, improper input validation in log parsing could enable a remote attacker to trigger an IP ban on arbitrary addresses, resulting in denial of service.

fail2ban ツールがバージョン 0.8.12 に更新され、さまざまなセキュリティの問題が修正されました。バグ修正と新しい機能も導入されています。

セキュリティの問題を修正：認証されていないリモートの攻撃者が、任意の IP アドレスを Fail2ban によりブロックし、正当なユーザーが Fail2ban に保護されているサービスにアクセスするのをブロックします。
CVE-2013-7177（cyrus-imap）および CVE-2013-7176（postfix）

- logrotate の後に新しい flushlogs 構文を使用します

- バージョン 0.8.12 への更新

- 現在、ログロテーションは、fail2ban をリロードしたり、logtarget 設定を jail.conf/local と /etc/logrotate.d/fail2ban で首尾一貫して保持したりするのではなく、コマンド「flushlogs」で発生するようになっています。（dep#697333、rh#891798）。

- ignorecommand オプションを追加し、IP を無視するかどうか動的に決定できるようにします。

- SYSLOG にログインし、syslog(-ng) 解析の問題を解決する際に、名前とログレベルのインデントを削除します。
 （dep#730202）。現在、ログ行は、名前部分の後で「[PID]」もレポートするようになっています。

- 現在はエポック日付が [] で閉じられるようになっています

- 新しいアクション：badips、firewallcmd-ipset、ufw、blocklist_de

- 新しいフィルター：solid-pop3d、nsd、openwebmail、horde、freeswitch、squid、ejabberd、openwebmail、groupoffice

- フィルターの改善：

- 現在は apache-noscript が php cgi スクリプトを含むようになっています

- オプション SAdevnull に対して spamassassin ログエントリが一致させるための exim-spam フィルター。

-「次からの切断を受信しました：3：認証失敗」のために sshd フィルター表現を追加しました

- Asterisk の ACL 処理を改善しました

- 不適切なコマンドパイプラインを postfix フィルターに追加しました。

- 全般的な修正：

- 昨年にゆっくり導入された不足フィルターの多数の jail.conf エントリを追加しました。

- synchat が変更され、全データが送信されたかどうかを検証するプッシュメソッドが使用されるようになりました。これにより、接続を終了する前に全データが必ず送信されるようになります。

- python 2.4 互換性を修正しました（日付パターンのサブセカンドが 2.4 互換性がないためです）

- 苦情/メールアクションが修正され、報告のために関連する IP だけを含めるようになりました

- フィルターの修正：

- apache アクセスログの HTTP リファラビットを apache フィルターに追加しました。

- Apache 2.4 perfork 正規表現が修正されました

- カーネル syslog 表現には先行する空白を設定できます

- proftpd.log のカスタム日付フォーマットで「ミリ秒」を利用できるようにします

- 全プロトコルをブロックするための recidive jail

- smtps が IANA 標準ではないため、/etc/services にない可能性があります。（まだ）一般的に使用されているため、465 が明示的なポート番号として使用されました。

- フィルター dovecot が、セッション文字の範囲がより広い正規表現のセッションと TLS アイテムを再度オーダーしました。

- ぶざまな修正（潜在的な互換性のない変更）：

- 残念ながら、アクション firewall-cmd-direct-new が追加されたときの最終リリースの最後に、それは過度に長くなっており、アクションチェックが破損しました。アクションの名前が firewallcmd-new に変更され、jail 名の長さに収まるようになりました。
 （gh#fail2ban/fail2ban#395）。

- 最後のリリースで、mysqld-syslog-iptables が jail 構成として追加されました。この jail 名は長すぎているため、mysqld-syslog に名前が変更されました。

- 変更ログの github 参照のフォーマットが修正されました

- spec ファイルを再フォーマットしました



- バージョン 0.8.11 への更新

- 最終リリースをトリガーした CVE-2013-2178 を通じて、フィルターの全正規表現を規制するために多大なる努力を行い、別の似たような脆弱性が発生するのを防止しました。弊社は、潜在的な DoS シナリオについてすべてを確認したわけではありませんが、リリースにより修正される別の DoS 脆弱性が存在する可能性があります。多数のフィルターが更新され、エラーの正規表現がより多く含まれるようになり、以前は禁止されていなかったエラーをサポートするました。また、より新しいアプリケーションのバージョンもサポートするようになりました。現時点でこれらのほとんどの事例についてテストを行いましたが、フィルターがまだ充分な機能を備えていないことが示される事例がある場合は、フィードバックを送っていただければ幸いです。細心の注意を払っていますが、DoS 脆弱性を防止するために正規表現の規制を強化している際に、それでも不適切なエラーが引き続き起こる可能性があります。

DoS の可能性に対処します。[Init] で gh#fail2ban/fail2ban#248、bnc#824710 を解決します。
 gh#fail2ban/fail2ban#232 を解決します

- asterisk フィルターへ更新します。gh#fail2ban/fail2ban#227、gh#fail2ban/fail2ban#230 を解決します。

- asterisk へ更新し、AUTH_UNKNOWN_DOMAIN を含めます。
 Fedora の gh#fail2ban/fail2ban#244 を解決します。gh#fail2ban/fail2ban#112 を解決します。バグについての報告書を提供してくれた Camusensei に感謝の意を表します。洞察。gh#fail2ban/fail2ban#103 を解決します。

- [f2156604] pyinotify -- IN_MOVED_TO イベントを監視します。
 gh#fail2ban/fail2ban#184 を解決します。報告とトラブルシューティングの情報を提供してくれた Jon Foster 氏に感謝の意を表します。Orion Poplawski 氏

- [39667ff6] ファイル記述子の漏洩を防止します。gh#fail2ban/fail2ban#167 を解決します。gh#fail2ban/fail2ban#147、gh#fail2ban/fail2ban#148 を解決します。

- [b6a68f51] サーバー側の delaction を修正します。gh#fail2ban/fail2ban#124 を解決します。fail2ban-client。gh#fail2ban/fail2ban#134 を解決します。gh#fail2ban/fail2ban#70。
 アイデアを提供してくれた iGeorgeX に感謝の意を表します。

- [96eb8986]「and」もアクションタグでエスケープする必要があります アイデアのため gh#fail2ban/fail2ban#109 beilber を解決します。
 gh#fail2ban/fail2ban#114 を解決します。fail2ban が実行中です。
 gh#fail2ban/fail2ban#166 を解決します。

- [29d0df5] mysqld フィルターを追加します。gh#fail2ban/fail2ban#152 を解決します。

- [bba3fd8] Sogo フィルターを追加します。gh#fail2ban/fail2ban#117 を解決します。

- [be06b1b] iptables-ipsets のアクションを追加します。gh#fail2ban/fail2ban#102 を解決します。

- [f336d9f] webmin のフィルターを追加します。gh#fail2ban/fail2ban#99 を解決します。首尾一貫して行います。gh#fail2ban/fail2ban#172 を解決します。

- [b36835f] get cinfo を fail2ban-client に追加します。gh#fail2ban/fail2ban#124 を解決します。gh#fail2ban/fail2ban#142 を解決します。gh#fail2ban/fail2ban#126 を解決します。Michael Heuberger 氏によるバグ報告。

- [3aeb1a9] jail.conf マニュアルページを追加します。gh#fail2ban/fail2ban#143 を解決します。不適切に構成されている DNS のための禁止。gh#fail2ban/fail2ban#64 を解決します

- [0935566、5becaf8] さまざまな python 2.4 と 2.5 の互換性の修正。コンソールの gh#fail2ban/fail2ban#83 を解決します。ログファイルが「banip」または「'unbanip」を有効にするために　gh#fail2ban/fail2ban#91 を解決します。gh#fail2ban/fail2ban#81、gh#fail2ban/fail2ban#86 を解決します

- [f52ba99]「already banned」を WARN レベルから INFO レベルにダウングレード。この gh#fail2ban/fail2ban#87) メッセージが非 unicode のままであるため、gh#fail2ban/fail2ban#79 を解決します。
 gh#fail2ban/fail2ban#32 を解決します 開発者の友人は Windows （gh#fail2ban/fail2ban#66 を解決します）の常習犯により行き詰っていました。gh#fail2ban/fail2ban#19 を解決します gh#fail2ban/fail2ban#47 を解決します（解決：#669063）

複数の認証エラーを引き起こすホストを禁止するソリューションである Fail2ban で、2 つの脆弱性が発見されました。Fail2ban を使用して、Postfix または Cyrus IMAP ログを監視する際に、ログ解析での不適切な入力検証により、リモートの攻撃者が IP ban を任意のアドレスに発生させ、サービス拒否を引き起こす可能性があります。

- 可能性のある DoS を回避するため、固定された failregex をフィルターに使用します。0.8 ブランチの現在のステータスから手動でピックアップされます（0.8.13-29-g09b2016 以降）：

- CVE-2013-7176：postfix.conf - 前面で固定され、ログラインで「postfix/smtpd」プレフィックスが予測されます

- CVE-2013-7177：cyrus-imap.conf - 前面で固定され、単一の failregex になるようにリファクタリングされます

- couriersmtp.conf - 両側で固定されます

- exim.conf - exim.conf および exim-spam.conf からピックアップされた、前面で固定されたバージョン

- lighttpd-fastcgi.conf - 前面で固定され、suhosin.conf からピックアップ（Wheezy バージョンからコピー）

- キャッチは、cyrus-imap に対して保護された（imaps/pop3s）を介したログインにも、失敗しました。0.8.11の failregex の強化中に回帰が導入されました（bd175f） Debian バグ #755173

- cyrus-imap：「ユーザーが見つかりません」の試行がキャッチされます

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

fail2ban 工具已更新至 0.8.12 版，以修正多種安全性問題，並且新增錯誤修正和功能。

已修正安全性問題：未經驗證的遠端攻擊者可能使 Fail2ban 封鎖任意 IP 位址，進而阻止合法使用者存取受 Fail2ban 保護的服務。
CVE-2013-7177 (cyrus-imap) 和 CVE-2013-7176 (postfix)

- 在 logrotate 之後使用新 flushlogs 語法

- 0.8.12 版本的更新

- 記錄輪替現在可隨命令 'flushlogs' 發生，而不是在重新載入 fail2ban 或保持 logtarget 設定在 jail.conf/local 和 /etc/logrotate.d/fail2ban 中一致時發生。(dep#697333、rh#891798)。

- 已新增 ignorecommand 選項來允許動態判斷是否要忽略 IP。

- 在登入 SYSLOG 時移除名稱和記錄層級的縮排，以解決 syslog(-ng) 剖析問題。
 (dep#730202)。記錄行現在也會在名稱部分之後報告 '[PID]'。

- Epoch 日期現在可括在 [] 內

- 新動作：badips、firewallcmd-ipset、ufw、blocklist_de

- 新篩選：solid-pop3d、nsd、openwebmail、horde、freeswitch、squid、ejabberd、openwebmail、groupoffice

- 篩選改善：

- apache-noscript 現在包括 php cgi 指令碼

- exim-spam 篩選，以符合選項 SAdevnull 的 spamassassin 記錄項目。

- 已針對「已從 3 收到中斷連線訊息：驗證失敗」新增至 sshd 篩選運算式

- 已針對 Asterisk 改善 ACL 處理

- 已將不當的命令管線新增至 postfix 篩選。

- 一般修正：

- 已針對在去年建立的遺漏篩選，新增許多 jail.conf 項目。

- synchat 已變更為使用可驗證是否已傳送所有資料的推送方法。如此可確保在關閉連線之前傳送所有資料。

- 已修正 python 2.4 相容性問題 (當日期模式中的次秒並非 2.4 相容時)

- 投訴/電子郵件已修正為僅包含要報告的相關 IP

- 篩選修正：

- 已將 apache 存取記錄檔的 HTTP 查閱者位元新增至 apache 篩選。

- 已修正 Apache 2.4 perfork regex

- 核心 syslog 運算式可以有前置空格

- 允許 proftpd.log 的自訂日期格式中有 ',milliseconds'

- recidive jail，以封鎖所有通訊協定

- smtps 並非 IANA 標準，因此可能從 /etc/services 中遺漏。由於 (仍) 為常用項目，因此已將 465 作為明確的連接埠號碼

- 在具有範圍較廣之工作階段字元的 regex 中篩選 dovecot 重新排列工作階段和 TLS 項目

- 不良修正 (可能不相容的變更)：

- 遺憾的是，當在上一個版本結尾新增動作 firewall-cmd-direct-new 時，由於過長，會造成損毀動作檢查。該動作已重新命名為 firewallcmd-new，以符合 jail name 的名稱長度。
 (gh#fail2ban/fail2ban#395)。

- 上一個版本已新增 mysqld-syslog-iptables 作為 jail 組態。此 jailname 太長，已重新命名為 mysqld-syslog。

- 已修正變更記錄中 github 參照的格式

- 已重新格式化 spec-file



- 0.8.11 版本的更新

- 根據觸發我們上一個版本的 CVE-2013-2178，我們已努力加強篩選的 regex，以避免發生其他類似的弱點。我們並未檢查所有 regex 是否有潛在 DoS 狀況，但可能存在由此版本修正的其他 DoS 弱點。大量篩選已更新為包含支援之前解除禁止之失敗的更多失敗 regex，也支援較新的應用程式版本。我們現在有大多數情況的測試案例，但如果您有其他範例說明篩選不足，歡迎提供回饋。在加強 regex 以避免發生 DoS 弱點期間，儘管我們出於善意，但也可能在無意間錯誤地允許失敗繼續進行。

解決潛在的 DoS。關閉 gh#fail2ban/fail2ban#248、bnc#824710。在 [Init] 內。
 關閉 gh#fail2ban/fail2ban#232

- 更新至 asterisk 篩選。關閉 gh#fail2ban/fail2ban#227、gh#fail2ban/fail2ban#230。

- 更新至 asterisk 以包含 AUTH_UNKNOWN_DOMAIN。
 關閉 gh#fail2ban/fail2ban#244。在 Fedora 上。關閉 gh#fail2ban/fail2ban#112。感謝 Camusensei 的錯誤報告。深入探索。關閉 gh#fail2ban/fail2ban#103。

- [f2156604] pyinotify -- 監控 IN_MOVED_TO 事件。
 關閉 gh#fail2ban/fail2ban#184。感謝 Jon Foster 報告和疑難排解。Orion Poplawski

- [39667ff6] 避免洩漏檔案描述符號。關閉 gh#fail2ban/fail2ban#167。關閉 gh#fail2ban/fail2ban#147、gh#fail2ban/fail2ban#148。

- [b6a68f51] 修正伺服器端的 delaction。關閉 gh#fail2ban/fail2ban#124。fail2ban-client。關閉 gh#fail2ban/fail2ban#134。gh#fail2ban/fail2ban#70。
 感謝 iGeorgeX 的建議。

- [96eb8986] ' 和 ' 也應在動作標籤內逸出 
關閉 gh#fail2ban/fail2ban#109。beilber 的建議。
 關閉 gh#fail2ban/fail2ban#114。fail2ban 正在執行。
 關閉 gh#fail2ban/fail2ban#166。

- [29d0df5] 新增 mysqld 篩選。關閉 gh#fail2ban/fail2ban#152。

- [bba3fd8] 新增 Sogo 篩選。關閉 gh#fail2ban/fail2ban#117。

- [be06b1b] 針對 iptables-ipsets 新增動作。關閉 gh#fail2ban/fail2ban#102。

- [f336d9f] 針對 webmin 新增篩選。關閉 gh#fail2ban/fail2ban#99。一致。關閉 gh#fail2ban/fail2ban#172。

- [b36835f] 新增 get cinfo 至 fail2ban-client。關閉 gh#fail2ban/fail2ban#124。關閉 gh#fail2ban/fail2ban#142。關閉 gh#fail2ban/fail2ban#126。錯誤報告者為 Michael Heuberger。

- [3aeb1a9] 新增 jail.conf 手冊頁面。關閉 gh#fail2ban/fail2ban#143。因錯誤設定 DNS 而造成封鎖。關閉 gh#fail2ban/fail2ban#64

- [0935566、5becaf8] 多種 python 2.4 和 2.5 相容性修正。關閉 gh#fail2ban/fail2ban#83。在主控台中。關閉 gh#fail2ban/fail2ban#91 記錄檔，以便使「banip」或「unbanip」生效。關閉 gh#fail2ban/fail2ban#81、gh#fail2ban/fail2ban#86

- [f52ba99] 將「已封鎖」訊息從「WARN」降級為「INFO」。關閉 gh#fail2ban/fail2ban#79。此處的 gh#fail2ban/fail2ban#87) 訊息保持為非 unicode。
 關閉 gh#fail2ban/fail2ban#32。負責 Windows 之開發人員的朋友 (關閉 gh#fail2ban/fail2ban#66) 重複違規。關閉 gh#fail2ban/fail2ban#19。關閉 gh#fail2ban/fail2ban#47 (關閉：#669063)

fail2ban 工具已更新到版本 0.8.12，修复了各种安全问题并引入若干缺陷补丁和功能。

已修复的安全问题：未经认证的远程攻击者可能导致任意 IP 地址被 Fail2ban 阻止，从而导致合法用户被阻止访问受 Fail2ban 保护的服务。
CVE-2013-7177 (cyrus-imap) 和 CVE-2013-7176 (postfix)

- logrotate 之后使用新的 flushlogs 语法

- 更新到版本 0.8.12

- 现在可通过“flushlogs”命令进行日志轮转，而不必重新加载 fail2ban 或者保持 jail.conf/local 和 /etc/logrotate.d/fail2ban 中的 logtarget 设置的一致性。（dep#697333、rh#891798）。

- 添加了 ignorecommand 选项，用于允许动态确定是否忽略某个 IP。

- 删除向 SYSLOG 记录日志时 name 和 loglevel 的缩进，以解决 syslog(-ng) 解析问题。
 (dep#730202)。日志行现在还在名称部分之后报告“[PID]”。

- Epoch 日期现在可被放在 [] 内

- 新操作：badips、firewallcmd-ipset、ufw、blocklist_de

- 新过滤器：solid-pop3d、nsd、openwebmail、horde、freeswitch、squid、ejabberd、openwebmail、groupoffice

- 过滤器改进：

- apache-noscript 现在包含 php cgi 脚本

- exim-spam 过滤器以匹配 SAdevnull 选项的 spamassassin 日志条目。

- 已添加到“Received disconnect from : 3: Auth fail”的 sshd 过滤器表达式

- 改进了 Asterisk 的 ACL 处理

- 向 postfix 过滤器添加了正确的命令管道。

- 常规补丁：

- 为缺少的过滤器添加了去年一年中创建的大量 jail.conf 条目。

- 更改了 synchat 以使用 push 方法来验证是否发送了所有数据。这可确保在关闭连接之前发送所有数据。

- 修复了 python 2.4 兼容性（因为日期模式中的亚秒与 2.4 不兼容）

- 修复了 Complain/email 操作以在报告中仅包含相关 IP

- 过滤器补丁：

- 向 apache 过滤器添加了 apache 访问日志的 HTTP referrer 位。

- 修复了 Apache 2.4 perfork regex

- 内核 syslog 表达式可包含前导空格

- 允许在 proftpd.log 的自定义日期格式中使用“,milliseconds”

- recidive jail 以阻断所有协议

- smtps 非 IANA 标准，因此 /etc/services 中可能缺少。因为（仍然）常用的 465 已被用作显式端口号

- 通过更大的会话字符范围来搜索 regex 中的 dovecot 重新排序会话和 TLS 项目

- 不良补丁（可能不兼容的变更）：

- 不幸的是，在上一发行版本的末尾添加 firewall-cmd-direct-new 操作时，它太长并且具有被破坏的操作检查。该操作已被重命名为 firewallcmd-new 以符合 jail name 名称长度。
 (gh#fail2ban/fail2ban#395)。

- 上一发行版本添加了 mysqld-syslog-iptables 作为 jail 配置。此 jailname 太长，已被重命名为 mysqld-syslog。

- 修复了变更日志中 github 引用的格式

- 重新格式化了 spec 文件



- 更新到版本 0.8.11

- 根据触发我们上一发行版本的 CVE-2013-2178，我们已投入大量精力来加强过滤器的所有 regex，以避免类似漏洞。我们尚未对所有 regex 检查可能的 DoS 情况，但此版本可能修复了存在的另一个 DoS 漏洞。大量过滤器已更新，包含了更多支持之前被禁止故障的故障 regex，同时支持更高的应用程序版本。我们已对大多数情况进行测试，但是，如果您有演示过滤器不充分的其他示例，欢迎向我们反馈。在为避免 DoS 漏洞而加强 regex 期间，尽管出于最好的意愿，但我们仍有可能无意间错误地允许故障继续发生。

解决了可能的 DoS。关闭 [Init] 中的 gh#fail2ban/fail2ban#248、bnc#824710。
 关闭 gh#fail2ban/fail2ban#232

- 更新 asterisk 过滤器。关闭 gh#fail2ban/fail2ban#227、gh#fail2ban/fail2ban#230。

- 更新 asterisk 以包含 AUTH_UNKNOWN_DOMAIN。
 关闭 gh#fail2ban/fail2ban#244。在 Fedora 上。关闭 gh#fail2ban/fail2ban#112。感谢 Camusensei 提供缺陷报告。见解。关闭 gh#fail2ban/fail2ban#103。

- [f2156604] pyinotify -- 监控 IN_MOVED_TO 事件。
 关闭 gh#fail2ban/fail2ban#184。感谢 Jon Foster 提供报告和排除故障。Orion Poplawski

- [39667ff6] 避免泄漏文件描述符。关闭 gh#fail2ban/fail2ban#167。关闭 gh#fail2ban/fail2ban#147、gh#fail2ban/fail2ban#148。

- [b6a68f51] 修复服务器端的 delaction。关闭 gh#fail2ban/fail2ban#124。fail2ban-client。关闭 gh#fail2ban/fail2ban#134。gh#fail2ban/fail2ban#70。
 感谢 iGeorgeX 的想法。

- [96eb8986] 操作标签中也应转义 ' 和 ' 关闭 gh#fail2ban/fail2ban#109 beilber 的想法。
 关闭 gh#fail2ban/fail2ban#114。fail2ban 正在运行。
 关闭 gh#fail2ban/fail2ban#166。

- [29d0df5] 添加 mysqld 过滤器。关闭 gh#fail2ban/fail2ban#152。

- [bba3fd8] 添加 Sogo 过滤器。关闭 gh#fail2ban/fail2ban#117。

- [be06b1b] 添加用于 iptables-ipsets 的操作。关闭 gh#fail2ban/fail2ban#102。

- [f336d9f] 添加用于 webmin 的过滤器。关闭 gh#fail2ban/fail2ban#99。持续。关闭 gh#fail2ban/fail2ban#172。

- [b36835f] 向 fail2ban-client 添加 get cinfo。关闭 gh#fail2ban/fail2ban#124。关闭 gh#fail2ban/fail2ban#142。关闭 gh#fail2ban/fail2ban#126。Michael Heuberger 提供的缺陷报告。

- [3aeb1a9] 添加 jail.conf 手册页。关闭 gh#fail2ban/fail2ban#143。因错误配置的 DNS 而禁止。关闭 gh#fail2ban/fail2ban#64

- [0935566，5becaf8] 各种 python 2.4 和 2.5 兼容性补丁。关闭控制台中的 gh#fail2ban/fail2ban#83。关闭 gh#fail2ban/fail2ban#91 日志文件使“banip”或“unbanip”生效。关闭 gh#fail2ban/fail2ban#81、gh#fail2ban/fail2ban#86

- [f52ba99] 将“已禁止”从“警告”等级降为“通知”等级。为此 gh#fail2ban/fail2ban#87 关闭 gh#fail2ban/fail2ban#79）消息保持非 unicode。
 关闭 gh#fail2ban/fail2ban#32 开发人员的好友在 Windows 上卡住（关闭 gh#fail2ban/fail2ban#66）反复触犯。关闭 gh#fail2ban/fail2ban#19 关闭 gh#fail2ban/fail2ban#47（关闭：#669063）

在 Fail2ban (一個禁止主機造成多個驗證錯誤的解決方案) 中發現兩個弱點。當使用 Fail2ban 監控 Postfix 或 Cyrus IMAP 記錄時，在記錄剖析中不當輸入驗證可讓遠端攻擊者在任意位址觸發 IP 禁止，進而導致拒絕服務。

在用于禁止可导致多种认证错误的主机的解决方案 Fail2ban 中发现两个漏洞。使用 Fail2ban 来监控 Postfix 或 Cyrus IMAP 日志时，日志解析中错误的输入验证可使远程攻击者能够触发对任意地址的 IP 禁止，从而导致拒绝服务。

- 使用錨定 failregex 執行篩選，避免可能的 DoS。從 0.8 分支的目前狀態手動擷取 (0.8.13-29-g09b2016 以後的版本)：

- CVE-2013-7176：postfix.conf - 錨定在前方，記錄行中應會顯示「postfix/smtpd」前置詞

- CVE-2013-7177：cyrus-imap.conf - 錨定在前方，且重構為具有單一 failregex

- couriersmtp.conf - 錨定至兩側

- exim.conf - 錨定在前方的版本是擷取自 exim.conf 和 exim-spam.conf

- lighttpd-fastcgi.conf - 錨定在前方的版本是擷取自 suhosin.conf (從 Wheezy 版本複製)

- 對於 cyrus-imap，Catch 也無法透過安全的方式 (imaps/pop3s) 登入。引入迴歸，並在 0.8.11 版中增強 failregex (bd175f) Debian 錯誤 #755173

- cyrus-imap：擷取「找不到使用者」嘗試作業

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

- 使用针对过滤器的定位 failregex 以避免可能的 DoS。从 0.8 分支的当前状态中手动选取（截至 0.8.13-29-g09b2016）：

- CVE-2013-7176：postfix.conf - 在前端定位，预期日志行中的前缀为“postfix/smtpd”

- CVE-2013-7177：cyrus-imap.conf - 在前端定位，并且重构为具有单个 failregex

- couriersmtp.conf - 在两端定位

- exim.conf - 从 exim.conf 和 exim-spam.conf 中选取的前端定位版本

- lighttpd-fastcgi.conf - 从 suhosin.conf 中选取的前端定位（从 Wheezy 版本复制）

- 对于 cyrus-imap，Catch 也未能通过安全的方式 (imaps/pop3s) 登录。在 0.8.11 (bd175f) 中，引入了回归同时强化了 failregex Debian 缺陷 #755173

- cyrus-imap：捕捉到“未找到用户”尝试

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	Name	Product	Family	Published	Updated	Severity
75283	openSUSE Security Update : fail2ban (openSUSE-SU-2014:0348-1)	Nessus	SuSE Local Security Checks	6/13/2014	1/19/2021	medium
82169	Debian DLA-21-1 : fail2ban security update	Nessus	Debian Local Security Checks	3/26/2015	1/11/2021	medium
76583	Debian DSA-2979-1 : fail2ban - security update	Nessus	Debian Local Security Checks	7/18/2014	1/11/2021	medium
75283	openSUSE セキュリティ更新：fail2ban（openSUSE-SU-2014:0348-1）	Nessus	SuSE Local Security Checks	6/13/2014	1/19/2021	medium
76583	Debian DSA-2979-1：fail2ban - セキュリティ更新	Nessus	Debian Local Security Checks	7/18/2014	1/11/2021	medium
82169	Debian DLA-21-1：fail2ban のセキュリティ更新	Nessus	Debian Local Security Checks	3/26/2015	1/11/2021	medium
75283	openSUSE 安全性更新：fail2ban (openSUSE-SU-2014:0348-1)	Nessus	SuSE Local Security Checks	6/13/2014	1/19/2021	medium
75283	openSUSE 安全更新：fail2ban (openSUSE-SU-2014:0348-1)	Nessus	SuSE Local Security Checks	6/13/2014	1/19/2021	medium
76583	Debian DSA-2979-1：fail2ban - 安全性更新	Nessus	Debian Local Security Checks	7/18/2014	1/11/2021	medium
76583	Debian DSA-2979-1：fail2ban - 安全更新	Nessus	Debian Local Security Checks	7/18/2014	1/11/2021	medium
82169	Debian DLA-21-1：fail2ban 安全性更新	Nessus	Debian Local Security Checks	3/26/2015	1/11/2021	medium
82169	Debian DLA-21-1：fail2ban 安全更新	Nessus	Debian Local Security Checks	3/26/2015	1/11/2021	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium