Versión de seguridad para WAPT 1.8.2 y WAPT 2.0

[dcardón]

Hola,

se acaba de publicar una actualización de seguridad para Wapt 2.0 Enterprise y Wapt 1.8.2 Enterprise y Community Editions. El registro de cambios y las puntuaciones CVSS están disponibles a continuación. WAPT 2.1 no se ve afectado. Para la actualización, siga la documentación en .

A security release for Wapt 2.0 Enterprise Edition and Wapt 1.8.2 Enterprise and Community Edition has been published. The changelog and CVSS scrore are listed below. WAPT 2.1 is not impacted. Please see the upgrade documentation on https://www.wapt.fr/en/doc

Saludos cordiales,

Denis.

Registro de cambios 2.0.0.9470
====================

Esta es una actualización de seguridad . Todas las versiones de Wapt 2.0 anteriores a 2.0.0.9470 se ven afectadas

* [SEC] corrección para la vulnerabilidad en urllib3 CVE-2021-33503 (puntuación CVSS: 7.5 alta, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)

* [SEC] Sanitizar el nombre de archivo utilizado al descargar archivos en la ubicación local del cliente. (Puntuación CVSS: 7.5 Alta, CVSS;3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C)
Aplicado a wget y nombres de archivos locales para paquetes descargados (los caracteres '\\' '..' @ | ( ) : / , \ [ ] < > * ? ; ` \n se eliminan o reemplazan)

* [ACTUALIZACIÓN] Wapt.remove: vuelve a lanzar la excepción si hay una excepción en el script de desinstalación,
devuelve el rastreo de la pila en la clave 'errors',
devuelve el código 3 si hay errores al eliminar paquetes en wapt-get remove

* [CORRECCIÓN] maneja comodines en certificados en la configuración de waptconsole y crea
la interfaz de usuario de actualización de waptsetup en la configuración de repositorios externos al configurar el paquete CA

* [CORRECCIÓN] usa PackageEntry.localpath solo para el estado local de un paquete.

* [UPD] se divide PackageEntry non_control_attributes en repo_attributes y local_attributes
local_attributes no se colocan en el índice Packages ya que no son relevantes para el acceso remoto.

* [UPD] se actualizan los requisitos de los módulos de python después de la actualización de urllib3
idna==3.2 (desde 2.10)
certifi==2021.5.30 (desde 2020.12.5)
requests==2.26.0 (desde 2.25)
urllib3==1.26.6 (desde 1.26.5)

Registro de cambios 1.8.2.7388
====================

Esta es una versión de seguridad. Todas las versiones de Wapt 1.8 a continuación 1.8.2.7388

Registro de cambios de seguridad wapt-1.8.2.7388*

* [SEC] Corrección para la vulnerabilidad en urllib3 CVE-2021-33503 (Puntuación CVSS: 7.5 Alta, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)

* [SEC] Sanitizar el nombre de archivo utilizado al descargar archivos en el cliente local. (Puntuación CVSS: 7.5 Alta, CVSS;3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C)
Aplicado a wget y nombres de archivo locales para paquetes descargados (los caracteres '\\' '..' @ | ( ) : / , \ [ ] < > * ? ; ` \n se eliminan o reemplazan)

* [CORRECCIÓN] Configuración de Waptconsole: Al recuperar el certificado https del lado del servidor, no escriba la cadena UTF16 en waptconfig. Elimine los comodines del CN ​​del certificado para componer el nombre del archivo del certificado.

* [ACTUALIZACIÓN] Actualizar los requisitos de los módulos de Python después de la actualización de urllib3
certifi==2021.5.30
chardet==3.0.2
idna==2.8
requests==2.21.0
urllib3==1.24.3