Публикувано е издание на HTTP сървъра Apache 2.4.58, в което са представени 33 изменения и три уязвимости, две от които са свързани с възможността за извършване на DoS атака на системи, използващи протокол HTTP/2.
- CVE-2023-45802 — създаване на условия за изчерпване на свободната памет поради отложено освобождаване на паметта след нулиране на поток HTTP/2 с пакет с флаг RST. Тъй като паметта не се освобождава веднага след обработката на флага RST, а само след затварянето на връзката, атакуващият може значително да увеличи потреблението на памет, изпращайки нови заявки и ги нулирайки с RST пакета, но без да затваря връзката.
- CVE-2023-43622 — безкрайно блокиране на обработката на връзката HTTP/2, ако е била отворена с нулев начален размер на плъзгащото прозорец. Уязвимостта може да се използва за организиране на отказ в обслужването чрез изчерпване на лимита за максимален допустим брой отворени връзки.
- CVE-2023-31122 — уязвимост в mod_macro, водеща до четене на данни извън определената буферна зона.
Среди промените, несвързани с безопасността:
- В mod_http2 е добавена поддръжка за използване на WebSocket протокол над потока в HTTP/2 (RFC 8441). За включване на WebSocket над HTTP/2 е предложена директива ‘H2WebSockets on|off’.
- В mod_http2 е добавена директива ‘H2EarlyHint name value’ за добавяне на заглавки в отговор «103 Early Hints».
- В mod_http2 е добавена директива ‘H2ProxyRequests on|off’ за управление на включването на обработката на заявки по протокол HTTP/2 в конфигурацията на прокси.
- В mod_http2 е добавена директива ‘H2MaxDataFrameLen n’ за ограничаване на максималния размер на тялото на отговора в байтове, предавано в един DATA кадър в HTTP/2. По подразбиране е зададен лимит от 16КБ.
- Файлът mime.types е обновен, в който разширението «.js» е свързано с типа ‘text/javascript’ вместо ‘application/javascript’ и са добавени разширения: «.mjs» (с тип ‘text/javascript’) и «.opus» (‘audio/ogg’). Добавени са MIME типове и разширения, прилагани в WebAssembly.
- Модулът mod_tls (алтернатива на mod_ssl на Rust) е преминал на използването на библиотеката rustls-ffi 0.9.2+.
- В модула mod_md е добавена директива ‘MDMatchNames all|servernames’ за управление на съпоставянето на MDomains с съдържанието на VirtualHosts.
- В модула mod_md е добавена директива ‘MDChallengeDns01Version’ за избор на версия на ACME протокола, използвана при верификация чрез DNS.
- В mod_md е позволено използването на директивата MDChallengeDns01 за отделни домейни.
- В mod_dav е добавена директива ‘DavBasePath’ за настройка на пътя към корена на репозитория WebDav.
- В mod_alias е добавена директива ‘AliasPreservePath’ за използване на пълния път на стойността Alias в блока Location.
- В mod_alias е добавена директива ‘RedirectRelative’, която позволява пренасочване с използване на относителни пътища.
- В директивата ErrorLogFormat са добавени спецификаторите на формат %{z} и %{strftime-format}.
- В mod_deflate е добавена директива ‘DeflateAlterETag’ за управление на промените в ETag при използване на компресия.
- Оптимизирана е производителността на функцията send_brigade_nonblocking().
- В mod_status е осигурено премахването на дубликати на ключовете «BusyWorkers» и «IdleWorkers», и е добавен нов брояч «GracefulWorkers».
Източник: opennet.ru
