Релиз на http-сървъра Apache 2.4.41 с отстраняване на уязвимости

Публикувано издание на HTTP-сервера Apache 2.4.41 (издание 2.4.40 беше пропуснато), в което са представени 23 изменения и устранено 6 уязвимости:

• CVE-2019-10081 — проблем в mod_http2, който може да доведе до повреда на паметта при изпращане на push заявки в много ранна фаза. При използване на настройката „H2PushResource“ може да се предизвика презаписване на областта на паметта в пуловете за обработка на заявки, но проблемът е ограничен до срив, тъй като записваните данни не се основават на информация, получена от клиента;
• CVE-2019-9517 — уязвимост към новосъздадена анонсиран DoS уязвимост в реализациите на HTTP/2.
  Атакуващият може да изчерпи наличната памет на процеса и да натовари значително CPU, отваряйки плъзгащ прозорец HTTP/2 за изпращане на данни от сървъра без ограничения, но държейки TCP прозореца затворен, което не позволява действително записване на данни в сокета;
• CVE-2019-10098 — проблем в mod_rewrite, позволяващ на сървъра да пренасочва заявки към други ресурси (open redirect). Някои настройки на mod_rewrite могат да доведат до пренасочване на потребител към друга връзка, кодирана с символа за нов ред в параметъра, използван в съществуващото пренасочване. За блокиране на проблема в RegexDefaultOptions може да се използва флагът PCRE_DOTALL, който сега е зададен по подразбиране;
• CVE-2019-10092 — възможност за извършване на междусайтово скриптиране на страници с грешки, генерирани от mod_proxy. На тези страници в линка се вставя полученото от заявката URL, в което атакуващият чрез ескейпиране на символи може да встави произволен HTML код;
• CVE-2019-10097 — преливане на стек и разименуване на NULL показател в mod_remoteip, експлоатирано чрез манипулации с заглавката на протокола PROXY. Атаката може да бъде извършена само от настройките на проксито, а не чрез заявка от клиента;
• CVE-2019-10082 — уязвимост в mod_http2, позволяваща в момента на завършване на съединението да се инициира четене на съдържанието от вече освободена област на паметта (read-after-free).

Наиболее заметные изменения, не связанные с безопасностью:

• В mod_proxy_balancer е засилена защитата срещу XSS/XSRF атаки от доверени възли;
• В mod_session е добавена настройка SessionExpiryUpdateInterval за определяне на интервала за обновление на времето за изтичане на сесията/cookie;
• Проведена е чистка на страниците с грешки, насочена към изключване на изхода на информация от заявките на тези страници;
• В mod_http2 е осигурено отчитането на стойността на параметъра „LimitRequestFieldSize“, който преди това действаше само за проверка на полетата на заглавките HTTP/1.1;
• Осигурено е създаването на конфигурация mod_proxy_hcheck при използването му в BalancerMember;
• Намалено е потреблението на памет в mod_dav при използването на командата PROPFIND върху голяма колекция;
• В mod_proxy и mod_ssl са решени проблеми с указването на настройки за сертификати и SSL вътре в блока Proxy;
• В mod_proxy е разрешено прилагането на настройки SSLProxyCheckPeer* за всички модули прокси;
• Разширени функционалности на модула mod_md, разработен от проекта Let’s Encrypt за автоматизация на получаването и обслужването на сертификати с помощта на протокола ACME (Automatic Certificate Management Environment):
  • Добавена е втора версия на протокола ACMEv2, която сега се прилага по подразбиране и използва празни POST заявки вместо GET.
  • Добавена е поддръжка за проверка на базата на разширението TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation), което се използва в HTTP/2.
  • Подкрепата за метода на проверка ‘tls-sni-01’ е прекратена (заради уязвимост).
  • Добавени са команди за настройка и прекратяване на проверката с метода ‘dns-01’.
  • Добавена е поддръжка маски в сертификатите при активиране на проверка на базата на DNS (‘dns-01’).
  • Реализиран е обработчик ‘md-status’ и страница със статус на сертификата „https://domain/.httpd/certificate-status“.
  • Добавени са директиви „MDCertificateFile“ и „MDCertificateKeyFile“ за настройка на параметри на домейни чрез статични файлове (без поддръжка на автообновяване).
  • Добавена е директива „MDMessageCmd“ за извикване на външни команди при настъпване на събития ‘renewed’, ‘expiring’ или ‘errored’.
  • Добавена е директива „MDWarnWindow“ за настройка на съобщение с предупреждение за изтичане на срока на действие на сертификата;

Източник: opennet.ru