تم إصدار خادم Apache HTTP 2.4.52، حيث قدم 25 تغييرًا وأزال نقطتي ضعف:
- CVE-2021-44790 هو تجاوز سعة المخزن المؤقت في mod_lua الذي يحدث عند تحليل الطلبات متعددة الأجزاء. تؤثر الثغرة الأمنية على التكوينات التي تستدعي فيها البرامج النصية Lua وظيفة r:parsebody() لتحليل نص الطلب، مما يسمح للمهاجم بالتسبب في تجاوز سعة المخزن المؤقت عن طريق إرسال طلب معد خصيصًا. لم يتم تحديد أي دليل على وجود استغلال، ولكن من المحتمل أن تؤدي المشكلة إلى تنفيذ التعليمات البرمجية الخاصة به على الخادم.
- CVE-2021-44224 - ثغرة أمنية SSRF (Server Side Request Forgery) في mod_proxy، والتي تسمح، في التكوينات باستخدام إعداد "ProxyRequests on"، من خلال طلب URI مصمم خصيصًا، لتحقيق إعادة توجيه الطلب إلى معالج آخر على نفس الخادم الذي يقبل الاتصالات عبر مقبس مجال Unix. يمكن أيضًا استخدام المشكلة للتسبب في حدوث عطل عن طريق إنشاء شروط عدم مرجعية المؤشر الفارغ. تؤثر المشكلة على إصدارات Apache httpd بدءًا من الإصدار 2.4.7.
أبرز التغييرات غير الأمنية هي:
- تمت إضافة دعم للإنشاء باستخدام مكتبة OpenSSL 3 إلى mod_ssl.
- تحسين الكشف عن مكتبة OpenSSL في البرامج النصية للتنسيق التلقائي.
- في mod_proxy، بالنسبة لبروتوكولات الاتصال النفقي، من الممكن تعطيل إعادة توجيه اتصالات TCP نصف المغلقة عن طريق تعيين المعلمة "SetEnv proxy-nohalf Close".
- تمت إضافة عمليات تحقق إضافية من أن عناوين URL غير المخصصة للتوكيل تحتوي على نظام http/https، وأن تلك المخصصة للتوكيل تحتوي على اسم المضيف.
- لا يسمح mod_proxy_connect وmod_proxy بتغيير رمز الحالة بعد إرساله إلى العميل.
- عند إرسال استجابات وسيطة بعد تلقي الطلبات بالرأس "توقع: 100-متابعة"، تأكد من أن النتيجة تشير إلى حالة "100 متابعة" بدلاً من الحالة الحالية للطلب.
- يضيف mod_dav دعمًا لامتدادات CalDAV، والتي تتطلب أخذ كل من عناصر المستند وعناصر الخاصية في الاعتبار عند إنشاء خاصية. تمت إضافة وظائف جديدة dav_validate_root_ns() و dav_find_child_ns() و dav_find_next_ns() و dav_find_attr_ns() و dav_find_attr()، والتي يمكن استدعاؤها من وحدات أخرى.
- في mpm_event، تم حل مشكلة إيقاف العمليات الفرعية الخاملة بعد زيادة تحميل الخادم.
- قام Mod_http2 بإصلاح تغييرات الانحدار التي تسببت في سلوك غير صحيح عند معالجة قيود MaxRequestsPerChild وMaxConnectionsPerChild.
- تم توسيع إمكانيات الوحدة mod_md، المستخدمة لأتمتة استلام الشهادات وصيانتها باستخدام بروتوكول ACME (بيئة إدارة الشهادات التلقائية):
- تمت إضافة دعم لآلية ربط الحساب الخارجي (EAB) من ACME، والتي تم تمكينها باستخدام توجيه MDExternalAccountBinding. يمكن تكوين قيم EAB من ملف JSON خارجي، مع تجنب كشف معلمات المصادقة في ملف تكوين الخادم الرئيسي.
- يضمن التوجيه "MDCertificateAuthority" أن تحتوي معلمة URL على http/https أو أحد الأسماء المحددة مسبقًا ("LetsEncrypt" و"LetsEncrypt-Test" و"Buypass" و"Buypass-Test").
- يُسمح بتحديد توجيه MDContactEmail داخل القسم .
- تم إصلاح العديد من الأخطاء، بما في ذلك تسرب الذاكرة الذي يحدث عند فشل تحميل مفتاح خاص.
المصدر: opennet.ru