Публикувано е издание на HTTP сървъра Apache 2.4.52, което представя 25 промени и отстранява 2 уязвимости:
- CVE-2021-44790 — преливане на буфер в mod_lua, проявяващо се при анализ на запитвания, състоящи се от няколко части (multipart). Уязвимостта засяга конфигурации, в които Lua скриптове извикват функцията r:parsebody() за анализ на тялото на запитването и позволява на атакуващия да предизвика преливане на буфера чрез изпращане на специално оформено запитване. Досега не са открити примери за експлоити, но потенциално проблемът може да доведе до изпълнение на произволен код на сървър.
- CVE-2021-44224 — уязвимост за SSRF (Server Side Request Forgery) в mod_proxy, която позволява в конфигурации с настройка „ProxyRequests on“ чрез запитване с конкретен URI да се постигне пренасочване на запитването към друг обработчик на същия сървър, принимащ връзки чрез Unix Domain Socket. Проблемът също така може да се използва за предизвикване на срив чрез създаване на условия за разыменоване на нулев указател. Засяга версии на Apache httpd от 2.4.7 насам.
Наиболее заметные изменения, не связанные с безопасностью:
- В mod_ssl е добавена поддръжка за компилация с библиотеката OpenSSL 3.
- Подобрен е механизмът за разпознаване на библиотеката OpenSSL в autoconf скриптовете.
- В mod_proxy за протоколите за тунелиране е добавена опция за деактивиране на пренасочването на полуотворени (half-close) TCP връзки чрез задаване на параметъра „SetEnv proxy-nohalfclose“.
- Добавени са допълнителни проверки, че URI, които не са предназначени за проксиране, съдържат схема http/https, а предназначените за проксиране съдържат име на хост.
- В mod_proxy_connect и mod_proxy е забранено изменението на кодовете за състояние след тяхното изпращане на клиента.
- При изпращане на междинни отговори след получаване на запитвания с заглавие „Expect: 100-Continue“, е осигурено указването на състояние „100 Continue“, а не на текущото състояние на запитването.
- В mod_dav е добавена поддръжка за разширения CalDAV, при което при генерирането на свойства трябва да се вземат предвид както елементите на документа, така и елементите на съществителното. Добавени са нови функции dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() и dav_find_attr(), които могат да се извикват от други модули.
- В mpm_event е разрешен проблемът с спирането на бездействящи дъщерни процеси след изблик на натоварване на сървъра.
- В mod_http2 са отстранени регресивни изменения, водещи до неправилно поведение при обработка на ограниченията MaxRequestsPerChild и MaxConnectionsPerChild.
- Разширени са възможностите на модула mod_md, използван за автоматизация на получаването и обслужването на сертификати с помощта на протокола ACME (Automatic Certificate Management Environment):
- Добавена е поддръжка на механизма ACME External Account Binding (EAB), който се активира чрез директивата MDExternalAccountBinding. Стойностите за EAB могат да бъдат конфигурирани от външен файл във формат JSON, който позволява да не се разкриват параметри за удостоверяване в основния файл. конфигурация на сървъра.
- В директивата ‘MDCertificateAuthority’ е осигурена проверка за указване на URL в параметъра http/https или едно от предварително зададените имена (‘LetsEncrypt’, ‘LetsEncrypt-Test’, ‘Buypass’ и ‘Buypass-Test’).
- Позволено е указването на директивата MDContactEmail вътре в секцията .
- Поправени са няколко грешки, включително е отстранена изтичането на памет, възникващо при сблъсъци при зареждане на частния ключ.
Източник: opennet.ru
