Zwalidowany kontekst sesji WHM
CGI WHM zachowuje zwalidowany cp_security_token wymagany przez natywną sesję cPanel. Pozostają dotychczasowe kontrole żądań, taint mode i granice odpowiedzi same-origin.
Rejestr wydania DH20.29
51 zweryfikowanych napraw błędów i exploitów CSF/LFD
Publiczny rejestr dokumentuje 51 napraw bezpieczeństwa i trzy zabezpieczenia operacyjne. DH20.29 dodaje poprawki zgodności WHM, stanu LFD i instalatora bez zwiększania liczby podatności. 77 zaliczonych plików testowych Linux i zakończony canary to dowody kwalifikacji, nie dodatkowe podatności.
DCSF
DH20.29: co nowego
Wydanie łączy poprawki kontekstu WHM, stanu LFD i instalatora z naprawą regresji znalezionej na canary. Zastępuje DH20.28; 51 pozycji rejestru bezpieczeństwa pozostaje oddzielną liczbą, bez doliczania testów jako podatności.
Ograniczone kompaktowanie stanu LFD
LFD kompaktuje csf.temppids w ramach istniejących limitów rozmiaru i liczby rekordów, używając LF_FLUSH do usuwania przeterminowanego stanu procesów. Nagromadzony stan tymczasowy nie blokuje zapisu nowych tożsamości procesów.
Uprawnienia tylko publicznych modułów META cPanel
Poprawka zgodności ustawia właściwe prawa wyłącznie publicznych modułów META cPanel. Nie rozszerza dostępu do prywatnej konfiguracji ani całego drzewa cPanel.
Poprawiona naprawa pliku resellerów
DH20.29 bezpiecznie uzupełnia brakujący końcowy LF w csf.resellers i poprawia błąd powłoki wykryty na canary. DH20.28 / 15.10.31 zostało zastąpione z powodu błędu tej ścieżki naprawy.
Porównanie równoważnych polityk nftables
Porównanie uwzględnia inną kolejność prezentacji niezależnych łańcuchów, zachowując kolejność reguł w każdym łańcuchu i pozostałe kontrole polityki. Samo przestawienie niezależnych łańcuchów nie powoduje już fałszywej rozbieżności.
77/77 testów Linux i zakończony canary
Kwalifikacja projektu zaliczyła wszystkie 77 plików testowych Linux. Aktualizacja canary autossltest2 zakończyła się z aktywnymi CSF/LFD i zachowaną konfiguracją. Oddzielnie sprawdzony host produkcyjny przeszedł tylko dry-run; nie oznacza to wykonanej aktualizacji produkcji.
Modele, dane i koszty API
Modele dostępne do wyboru w tym wydaniu: gpt-5-mini, gpt-5.4-mini, gpt-5.6-terra. Dostępność zależy od konta OpenAI API administratora.
Po włączeniu wybrane lokalne dane diagnostyczne bezpieczeństwa są wysyłane do OpenAI. Rozpoznane sekrety są maskowane, ale nie jest to gwarancja anonimowości. store=false nie gwarantuje Zero Data Retention; nadal obowiązują ustawienia konta API i zasady dostawcy. Opcjonalne użycie API jest rozliczane osobno od bezpłatnego DCSF. Wnioski wymagają oceny administratora i nie gwarantują wykrycia wszystkich problemów bezpieczeństwa.
Zachowane wcześniejsze poprawki instalacji i zgodności
- Przywrócone natywne osadzenie w WHM Jupiter. DH20.27 naprawiło regresję cPanel, w której samodzielny dokument HTML DCSF zastępował stronę WHM. Interfejs jest renderowany przez csf.tmpl i natywny master_templates/master.tmpl, z zachowaniem nawigacji panelu i responsywnego układu.
- CGI w taint mode i ograniczony helper szablonu. Główny CGI zachowuje perl -T, walidację żądań i odpowiedzi same-origin. Stały helper root:root 0700 używa prywatnego Perla cPanel i Cpanel::Template::process_template przez listową postać IPC::Open2. Czyści zmienne sterujące interpreterem, ustala PATH, nie przyjmuje argumentów ścieżki ani szablonu i ogranicza stdin do 32 MiB.
- nginx rozstrzyga o adresie klienta. W zweryfikowanej topologii cPanel EA-Nginx ustawienie SERVER="auto" wybiera nginx na publicznych portach 80/443. Jego ustrukturyzowany log wejściowy dostarcza rzeczywistego IP klienta. WebGuard nie ufa dowolnym wartościom X-Forwarded-For ani nie wyznacza klientów ze zwykłego logu backendu Apache.
- Apache wskazuje obciążenie, nie klienta do blokady. Apache nasłuchuje na prywatnych portach 81/444. Jego server-status i opcjonalny log o roli backend dostarczają tylko sygnału przeciążenia. Lokalny adres nginx 127.0.0.1 nie staje się kandydatem do blokady. Nie zakładamy takiej samej granicy zaufania dla nieobsługiwanych lub niezweryfikowanych układów proxy.
- Jedno zaufane drzewo bibliotek podczas diagnostyki. Diagnostyczne uruchomienie rozpakowanego, podpisanego pakietu obok starszego cPanel CSF zachowuje pierwszeństwo jego własnych bibliotek. Próba dodania /usr/local/csf/lib przez stary moduł ponownie ustawia wybrane źródło na początku, a bibliotekę instalacji pozostawia tylko jako fallback. Normalne uruchomienie zainstalowanej wersji nie zmienia się.
- Natywna kopia przed migracją. Gdy iptables-save nie potrafi wyeksportować rozpoznanej niezgodnej tabeli iptables-nft, migracja cpanel-csf zapisuje pełny nft list ruleset i diagnostykę eksporterów z sumami SHA-256. Kontynuuje dopiero po potwierdzeniu bezczynności równoległego backendu legacy i zabezpieczeniu dokładnego pakietu RPM do wycofania zmiany.
- Ograniczona przebudowa przez zaufane CSF. Bootstrap przebudowuje wyłącznie niezgodne standardowe tabele filter, nat, mangle, raw i security rodzin ip oraz ip6, używając już zainstalowanego, zaufanego csf -r. Pozostałe natywne tabele nie są wybierane do normalizacji.
- Porównanie polityki i automatyczny rollback. Kanoniczne polityki IPv4/IPv6 są porównywane przed przebudową i po niej. Brak tabeli, różnica semantyczna, przerwanie lub późniejszy błąd instalacji uruchamia przywracanie. Testy objęły wszystkie dziesięć standardowych tabel, w tym wymuszoną rozbieżność z odtworzeniem pierwotnej polityki i konfiguracji.
- Opcjonalny AI System Scan. AI System Scan dodaje szybki i pogłębiony przegląd do interfejsu administracyjnego DCSF. Funkcja jest domyślnie wyłączona i wymaga podania przez administratora własnego klucza OpenAI API oraz wyboru modelu.
- Ograniczony zakres dowodów i chroniony klucz. Pojedynczy skan w tle zbiera ograniczony zestaw lokalnych danych bezpieczeństwa, z limitami odczytów, procesów, rozmiaru danych i czasu wykonania. Klucz API jest w osobnym pliku dostępnym tylko dla roota i nigdy nie wraca do interfejsu.
- Wnioski powiązane z przekazanymi dowodami. Żądania OpenAI Responses API używają store=false, bez narzędzi i ze ścisłym formatem odpowiedzi. Wnioski oraz zalecenia muszą wskazywać prawidłowe identyfikatory dowodów z wysłanego zestawu. Raport doradza, ale nie wykonuje automatycznie napraw.
- Istniejące katalogi prywatnego stanu AI. Instalator sprawdza właściciela, grupę i uprawnienia prywatnych katalogów stanu AI bez wymagania jednej referencji katalogu. Istniejące podkatalogi na systemach plików ext nie powodują już błędnej odmowy instalacji; niebezpieczny właściciel lub prawa nadal ją zatrzymują.
- Zachowane rygorystyczne kontrole migracji. Sam kod wyjścia 0 eksportera nie dowodzi kompletności. Migracja jest odrzucana przy nieznanej diagnostyce lub aktywnej równoległej polityce legacy. Kopia pomijająca aktywną standardową tabelę nftables albo zmiana polityki kanonicznej uruchamia rollback.
- Oddzielny budżet kontekstu procfs. Kontrole kontekstowej tożsamości mają osobny, ograniczony budżet skanowania procfs. Przy wielu procesach nie powstają już fałszywe alarmy excessive usage spowodowane kolizją tych budżetów; zwykłe limity procesu, UID i całego skanowania nie są osłabiane.
- Aktywne LFD po aktualizacji produkcyjnej. Po udanej aktualizacji profilu produkcyjnego (TESTING=0) instalator restartuje LFD i sprawdza wynik, w tym aktywność usługi na systemd. Nowy kod demona działa od razu; instalacje z TESTING=1 nie są uruchamiane.
- Ograniczone ponawianie rejestracji. Rejestracja instalacji korzysta z API HTTPS bez rozszerzenia pliku oraz ograniczonych prób retry i backoff. Chwilowy błąd można ponowić bez nieograniczonego oczekiwania; podpis tożsamości i kontrola adresu źródłowego pozostają wymagane.
- Instalacja świadoma stanu SELinux. Instalator sprawdza stan SELinux przed użyciem chcon. Wyłączony SELinux nie powoduje już mylących ostrzeżeń o etykietowaniu, a aktywne środowiska zachowują obsługę kontekstów.
- Natywna obsługa systemd. Host działający wyłącznie na systemd nie zgłasza braku starych plików startowych SysV ani nie próbuje zmieniać właściciela nieistniejących plików. Starszy init pozostaje obsługiwany.
- Trafna kontrola Apache i ModSecurity. Nieaktywny Apache i domyślne ścieżki logów ModSecurity mają status informacyjny. Na systemd rozstrzyga rzeczywisty stan usługi: prywatny /opt/zimbra/common/bin/httpd nie jest mylony z systemowym Apache. Starszy init zachowuje kontrolę procesu.
- Sprawdzony transport poczty Zimbra. Kanoniczny symlink sendmail Zimbry jest rozpoznawany przez kontrolę zaufanej ścieżki. Ta celowana poprawka zgodności nie nadaje zaufania dowolnym symlinkom.
Kwalifikacja wydania Linux: 77/77. Kontrole publicznego bootstrapu: 85/85.
DCSF
Każda naprawa bezpieczeństwa w podpisanym wydaniu
Rejestr obejmuje granice poleceń, parsery, pliki, źródła zdalne, panele, klaster, procesy, DNS i stan firewalla. Statusy są związane z opublikowanym pakietem.
51Wszystkie
51Zaimplementowane
51Zweryfikowane
- P-01
Odizolowanie danych reCAPTCHA komunikatora od każdej granicy powłoki roota
Zweryfikowane - P-02
Ograniczenie zdalnych źródeł GLOBAL do danych bez możliwości dostarczania reguł zaawansowanych
Zweryfikowane - P-03
Ochrona plików komunikatora przed dowiązaniami i wyścigami podmiany
Zweryfikowane - P-04
Jawne parsowanie CIDR /0 i dopuszczanie go wyłącznie zgodnie z polityką wywołującego
Zweryfikowane - P-05
Wymaganie przypiętych podpisów RSA-3072, metadanych związanych przez SHA-256 i kontroli wycofania aktualizacji
Zweryfikowane - P-06
Wzmocnienie uprzywilejowanego mostu DirectAdmin i weryfikacja zmian tożsamości
Zweryfikowane - P-07
Uruchamianie uprzywilejowanych punktów wejścia Perla w trybie taint i minimalnym środowisku
Zweryfikowane - P-08
Generowanie chronionego klucza lokalnego dla samodzielnego interfejsu
Zweryfikowane - P-09
Ograniczenie procesów, żądań, wyszukiwania, czasu przed uwierzytelnieniem i wyników samodzielnego interfejsu
Zweryfikowane - P-10
Dodanie sesji CSPRNG, ochrony CSRF, bezpiecznych nagłówków i współczesnego TLS do samodzielnego UI
Zweryfikowane - P-11
Kodowanie niezaufanych danych na końcowej granicy renderowania każdego adaptera UI
Zweryfikowane - P-12
Klasyfikacja wariantów sukcesu i błędu Dovecot 2.4 bez znanych fałszywych alarmów
Zweryfikowane - P-13
Jednolite ignorowanie managesieve-login we wszystkich właściwych profilach
Zweryfikowane - P-14
Ograniczenie wyników własnych wyrażeń do zweryfikowanych portów TCP lub UDP od 1 do 65535
Zweryfikowane - P-15
Wymuszenie HTTPS z weryfikacją certyfikatu i nazwy hosta dla źródeł zdalnych
Zweryfikowane - P-16
Kontrola stanu, rozmiaru i formatu pobrań przed atomową podmianą ostatniej dobrej wersji
Zweryfikowane - P-17
Propagowanie błędów odtwarzania i zachowanie ostatniego działającego stanu firewalla
Zweryfikowane - P-18
Rozpakowywanie list blokad ZIP z twardymi limitami i atomową podmianą
Zweryfikowane - P-19
Ograniczenie rekordów logów przed analizą regex i usunięcie wzorców katastroficznych
Zweryfikowane - P-20
Uwierzytelnienie, ramkowanie i ograniczenie zasobów całego ruchu klastra
Zweryfikowane - P-21
Izolowanie sprawców LF_DIRWATCH i automatyczne przywracanie monitorowania
Zweryfikowane - P-22
Stosowanie zmian LF_SCRIPT_PERM wyłącznie do zweryfikowanego otwartego inode
Zweryfikowane - P-23
Usunięcie sekretów z argumentów, adresów URL, niebezpiecznych plików i diagnostyki
Zweryfikowane - P-24
Użycie jednego ścisłego API do kanonizacji IPv4, IPv6 i CIDR
Zweryfikowane - P-25
Walidacja końcowej koperty pocztowej i wywoływanie sendmail bez powłoki
Zweryfikowane - P-26
Rozpoznawanie dokładnych nazw użytkowników syslog, także zaczynających się podkreśleniem
Zweryfikowane - P-27
Oddzielenie danych DNS do wyświetlania od stanu cache używanego do autoryzacji
Zweryfikowane - P-28
Dopasowywanie zaufanych nazw tylko dokładnie lub na granicy etykiety DNS
Zweryfikowane - P-29
Kanonizacja danych PTR przed użyciem w cache, logach, poczcie, HTML i konfiguracji
Zweryfikowane - P-30
Ograniczenie weryfikacji DNS i cache według czasu, współbieżności, rozmiaru i złożoności
Zweryfikowane - P-31
Dopuszczanie uprzywilejowanych zmian CyberPanel wyłącznie przez chronione żądania POST
Zweryfikowane - P-32
Usunięcie przewidywalnych plików tymczasowych i podążania za dowiązaniami z instalatorów
Zweryfikowane - P-33
Zapobieganie dzieleniu znaków wielobajtowych przez czytniki surowych rekordów
Zweryfikowane - P-34
Rejestracja, autoryzacja i ograniczenie każdego trwałego magazynu odczytywanego przez roota
Zweryfikowane - P-35
Użycie jednej jednoznacznej i transakcyjnej gramatyki tymczasowych reguł firewalla
Zweryfikowane - P-36
Jednokrotne renderowanie szablonów alertów i blokada wstrzykiwania struktury MIME
Zweryfikowane - P-37
Nieodwracalne obniżenie uprawnień Messenger v1 i zamknięcie odziedziczonych deskryptorów
Zweryfikowane - P-38
Ograniczenie katalogów WWW Messenger v2 i v3 oraz generowanej konfiguracji serwera
Zweryfikowane - P-39
Weryfikacja tożsamości Messenger i transakcyjny cykl życia każdej instancji
Zweryfikowane - P-40
Budowa i instalacja wydań z zamkniętego, zweryfikowanego wykazu artefaktów
Zweryfikowane - P-41
Przekazywanie uwierzytelnionych żądań paneli bez uruchamiania powłoki
Zweryfikowane - P-42
Walidacja i instalacja zdalnych baz Geo i ASN jako jednej transakcji ostatniej dobrej wersji
Zweryfikowane - P-43
Ograniczenie alokacji rekordu logu przed wczytaniem całej niezaufanej linii do pamięci
Zweryfikowane - P-44
Wiązanie działań na procesach z tożsamością jądra zamiast ponownie używalnego PID lub inode gniazda
Zweryfikowane - P-45
Zapewnienie, że obsługa fork-bomb nie traktuje identyfikatora sesji jak identyfikatora grupy procesów
Zweryfikowane - P-46
Usunięcie tekstu polecenia i własnych regex pignore z roli tożsamości procesu lub podstawy działania
Zweryfikowane - P-47
Blokada przesuwania pól tożsamości procfs i ukrywania procesu przez kontrolowane bajty comm
Zweryfikowane - P-48
Blokada omijania rozliczania przez wyjątki plików wykonywalnych między UID, usługami i nadzorcami
Zweryfikowane - P-49
Ograniczenie skanowania procfs dla obiektu, UID i całego cyklu z uczciwym podziałem między UID
Zweryfikowane - P-50
Ograniczenie odzyskiwania po zawieszonej blokadzie bez sygnalizowania celu odczytanego z pliku blokady
Zweryfikowane - P-51
Blokada dostępu do DCSF dla dodatkowych kont NodeWorx bez natywnych uprawnień firewalla InterWorx
Zweryfikowane
DCSF
DH20.29 domyka zależność JSON::PP bez osłabiania zaufania
Pakiet 15.10.32 dodaje JSON::PP do preflightu instalatora i kontroli runtime os.pl, zachowując rozdział systemowego Perla, prywatnego środowiska cPanel oraz jawnego fallbacku CPAN.
Najpierw pakiety systemowe
Poza cPanel DCSF naprawia zamkniętą listę modułów przez dokładne możliwości RPM lub mapowanie pakietów Debiana. DNF i YUM zachowują weryfikację GPG, a APT odrzuca repozytoria nieuwierzytelnione i niezabezpieczone.
Pomiar postępu i ponowna kontrola
Instalator inwentaryzuje wymagane moduły przed preflightem i po naprawie. Próby są ograniczone, muszą wykazać postęp, a powodzenie wymaga ponownego importu całej zamkniętej listy.
CPAN wyłącznie po jawnej zgodzie
Systemowy fallback CPAN jest domyślnie wyłączony. Operator musi podać --allow-cpan-fallback; używany jest stały mirror MetaCPAN przez HTTPS, zamknięte nazwy modułów i zweryfikowane katalogi robocze.
Prywatny Perl cPanel
Na cPanel DCSF zawsze sprawdza /usr/local/cpanel/3rdparty/bin/perl, wyznacza pasujący wersjonowany cpanm i uruchamia go jawnie przez ten sam prywatny interpreter, bez mieszania bibliotek z /usr/bin/perl.
Wymagane JSON::PP
Runtime OLSPanel wymaga JSON::PP. RPM wybiera podpisaną możliwość perl(JSON::PP), Debian pakiet libjson-pp-perl, cPanel używa prywatnego cpanm, a systemowy CPAN nadal wymaga jawnego --allow-cpan-fallback.
Canary PASS: Wcześniejszy publiczny test canary --dryrun uwierzytelnił sprawdzane wtedy wydanie, wybrał właściwy instalator i pozostawił każdy zwykły plik bezpośrednio w /etc/csf bez zmian.
DCSF
DH20.29 utrzymuje działania OLSPanel w widocznym obszarze
Pakiet 15.10.32 ogranicza iframe do 640–1200 pikseli, przewija go wewnętrznie i wraca na górę po nawigacji. Maskowany modal, Watch System Logs, Search for IP i Firewall Allow pozostają widoczne, a zaufana polityka i rzeczywisty test backendu są zachowane.
Wykrywanie bez fałszywego wymagania
Katalog modules jest opcjonalny. Detektor przyjmuje wyłącznie wspierane katalogi kanoniczne i bezpieczną deklarację /etc/olspanel/base_dir należącą do roota.
Preflight chronionej konfiguracji
Przed zapisem adapter tylko odczytuje metadane /etc/csf, /etc/csf/csf.conf i /etc/csf/csf.cloudflare. Tryb --dryrun wykonuje tę samą kontrolę bez zmiany plików.
Odrzucenie aliasów i dokładna diagnoza
Symlinki, pliki inne niż zwykłe, własność inną niż root, zapis grupy lub świata oraz chronione pliki z więcej niż jednym hardlinkiem są odrzucane przed instalacją ze wskazaniem dokładnej ścieżki.
Finalizacja bez zmiany treści
Po instalacji /etc/csf otrzymuje root:root 0700, a csf.conf i csf.cloudflare root:root 0600 z dokładnie jednym hardlinkiem. Istniejąca treść obu plików pozostaje identyczna bajtowo.
Uwierzytelniony brakujący plik
Jeżeli csf.cloudflare nie istnieje, może pochodzić wyłącznie ze zweryfikowanego, podpisanego pakietu; istniejący plik nie jest zastępowany.
Brak fałszywego sukcesu
Instalator ogólny kończy pracę błędem, gdy rekurencyjny chmod lub chown nie powiedzie się, zamiast kontynuować do komunikatu PASS.
Kontrolowane utworzenie modules
Brakujący katalog powstaje dopiero podczas rzeczywistej instalacji jako root:root 0755. DCSF zapisuje prywatną informację, że sam go utworzył.
Ostrożne odinstalowanie
Uninstall usuwa katalog nadrzędny wyłącznie wtedy, gdy utworzył go DCSF i katalog nadal jest pusty. Obce lub niepuste dane pozostają nietknięte.
Runtime JSON::PP
Preflight i kontrola os.pl wymagają JSON::PP. Naprawa korzysta z podpisanej możliwości RPM perl(JSON::PP), pakietu Debian libjson-pp-perl, prywatnego cpanm cPanel lub jawnie włączonego fallbacku systemowego CPAN.
Izolowana kompilacja backendu
Po instalacji ogólnej, lecz przed publikacją lub restartem integracji panelu, adapter wykonuje izolowany test backendu perl -T -c. Błąd zatrzymuje integrację OLSPanel.
Właściwe zasoby panelu
OLSPanel podaje obrazy z uwierzytelnionego drzewa /usr/local/csf/lib/webmin/csf/images, w którym podpisany pakiet umieszcza między innymi ikonę csf.svg.
Jawna zaufana polityka
Backend ładuje /usr/local/csf/lib/ConfigServer/panel-action-policy.json z require_trusted => 1 zamiast używać domyślnej ścieżki CyberPanelu. Cały łańcuch nadrzędny i plik muszą być kontrolowane przez roota i niezapisywalne dla innych.
Test rzeczywistej ramki backendu
Instalator wysyła ograniczone żądanie binarne tylko do odczytu przez rzeczywisty backend w taint mode. Odpowiedź nie może przekroczyć 16 MiB i musi zawierać marker interfejsu DCSF, zanim integracja zostanie opublikowana lub zrestartowana. Po aktualizacji extmail.uck.katowice.pl pełna ścieżka Django do backendu Perla zwróciła HTTP 200.
Maskowane ponowne uwierzytelnienie
Chronione działania używają osobnego okna z ograniczonym polem type="password" zamiast window.prompt(). Escape, przycisk anulowania i kliknięcie tła bezpiecznie przerywają operację, a widoczne pole jest czyszczone natychmiast po przekazaniu danych do żądania.
Działające logi systemowe
Search System Logs i Watch System Logs przyjmują wyłącznie nocache o długości od jednej do dwudziestu cyfr. Stan postępu kończy się po każdej odpowiedzi, błąd pokazuje status HTTP, a produkcyjne testy wyszukiwania i podglądu zwróciły HTTP 200.
Widoczne odpowiedzi chronionych akcji
Przechwycona nawigacja jest deduplikowana, odraczana do następnego obrotu pętli zdarzeń i jawnie wysyłana do _self z widocznym postępem. Quick Allow i zapis konfiguracji zachowują pełną, niepustą odpowiedź zamiast pustej ramki.
Search for IP i Firewall Allow
Testy przez rzeczywisty backend Perla potwierdziły wyszukanie dodanego adresu, listę Firewall Allow oraz kontrolki Done i Return. Tymczasowy wpis testowy został usunięty, a końcowy skrót csf.allow wrócił dokładnie do wartości sprzed testu.
Ograniczony przewijany obszar akcji
Iframe działań pozostaje między 640 a 1200 pikseli, przewija długą treść wewnętrznie i wraca na górę po każdej nawigacji. Test produkcyjny utrzymał zewnętrzną stronę na wysokości 1000 pikseli i pozycji przewijania zero, dzięki czemu wyniki Search for IP, Firewall Allow, Watch System Logs i modal reautoryzacji pozostały widoczne.
DCSF
Trzy publiczne zabezpieczenia operacyjne
Poza 51 naprawami rejestr obejmuje instalację, obsługę CC_DENY i zachowanie polityki Dockera. Kwalifikacja DH20.29 liczy 77 testów, dlatego tej liczby nie przedstawiamy jako liczby podatności.
Wymaganie jawnego profilu instalacji testowej lub produkcyjnej oraz wykrywanie trybu testowego przez kontrolę stanu
ZweryfikowaneZachowanie odpowiedzi dla połączeń inicjowanych lokalnie przy CC_DENY bez dopuszczania nowego ruchu przychodzącego
ZweryfikowaneZachowanie łańcuchów Dockera i polityki DOCKER-USER podczas restartu oraz wycofania zmian firewalla
ZweryfikowaneWydane
Pobierz wydanieDH20.29: 77 z 77 bramek zakończonych powodzeniem
Zweryfikowano pakiet DCSF 15.10.32, finalizację konfiguracji OLSPanel, naprawę zależności Perla, WebGuard, bootstrap, integralność dystrybucji i responsywny interfejs. Rejestr P-01–P-51 pozostaje publicznym wykazem napraw bezpieczeństwa.