Apache 2.4.46 HTTP সার্ভার রিলিজ দুর্বলতার সাথে সংশোধন করা হয়েছে

প্রকাশিত Apache HTTP সার্ভার 2.4.46 এর রিলিজ (রিলিজ 2.4.44 এবং 2.4.45 এড়িয়ে গেছে), যা চালু করা হয়েছে 17 পরিবর্তন এবং নির্মূল 3 দুর্বলতা:

• জন্য CVE-2020-11984 — mod_proxy_uwsgi মডিউলে একটি বাফার ওভারফ্লো, যা একটি বিশেষভাবে তৈরি করা অনুরোধ পাঠানোর সময় সার্ভারে তথ্য ফাঁস বা কোড কার্যকর করতে পারে। একটি খুব দীর্ঘ HTTP শিরোনাম পাঠিয়ে দুর্বলতা শোষণ করা হয়। সুরক্ষার জন্য, 16K এর বেশি হেডার ব্লক করা যোগ করা হয়েছে (প্রটোকল স্পেসিফিকেশনে সংজ্ঞায়িত একটি সীমা)।
• জন্য CVE-2020-11993 — mod_http2 মডিউলের একটি দুর্বলতা যা একটি বিশেষভাবে ডিজাইন করা HTTP/2 শিরোলেখ সহ একটি অনুরোধ পাঠানোর সময় প্রক্রিয়াটিকে ক্র্যাশ করার অনুমতি দেয়। mod_http2 মডিউলে ডিবাগিং বা ট্রেসিং সক্রিয় করা হলে সমস্যাটি নিজেকে প্রকাশ করে এবং লগে তথ্য সংরক্ষণ করার সময় রেসের অবস্থার কারণে মেমরি বিষয়বস্তু দুর্নীতিতে প্রতিফলিত হয়। লগলেভেল "তথ্য" এ সেট করা থাকলে সমস্যাটি উপস্থিত হয় না।
• জন্য CVE-2020-9490 — mod_http2 মডিউলের একটি দুর্বলতা যা একটি বিশেষভাবে ডিজাইন করা 'ক্যাশে-ডাইজেস্ট' শিরোনাম মান সহ HTTP/2 এর মাধ্যমে একটি অনুরোধ পাঠানোর সময় একটি প্রক্রিয়া ক্র্যাশ করার অনুমতি দেয় (কোন সংস্থানে HTTP/2 PUSH অপারেশন করার চেষ্টা করার সময় ক্র্যাশ ঘটে) . দুর্বলতা ব্লক করতে, আপনি "H2Push off" সেটিং ব্যবহার করতে পারেন।
• জন্য CVE-2020-11985 — mod_remoteip দুর্বলতা, যা আপনাকে mod_remoteip এবং mod_rewrite ব্যবহার করে প্রক্সি করার সময় IP ঠিকানাগুলিকে ফাঁকি দিতে দেয়। সমস্যাটি শুধুমাত্র 2.4.1 থেকে 2.4.23 রিলিজের জন্য দেখা যায়।

সবচেয়ে উল্লেখযোগ্য অ-নিরাপত্তা পরিবর্তন:

• খসড়া স্পেসিফিকেশনের জন্য সমর্থন mod_http2 থেকে সরানো হয়েছে kazuho-h2-ক্যাশে-ডাইজেস্টযার পদোন্নতি বন্ধ করা হয়েছে।
• mod_http2-এ "LimitRequestFields" নির্দেশের আচরণ পরিবর্তন করা হয়েছে; 0-এর মান উল্লেখ করা এখন সীমাটিকে নিষ্ক্রিয় করে।
• mod_http2 প্রাথমিক এবং মাধ্যমিক (মাস্টার/সেকেন্ডারি) সংযোগগুলির প্রক্রিয়াকরণ এবং ব্যবহারের উপর নির্ভর করে পদ্ধতিগুলির চিহ্নিতকরণ সরবরাহ করে।
• যদি একটি FCGI/CGI স্ক্রিপ্ট থেকে ভুল শেষ-সংশোধিত হেডার বিষয়বস্তু প্রাপ্ত হয়, তাহলে এই শিরোনামটি এখন ইউনিক্স যুগের সময়ে প্রতিস্থাপনের পরিবর্তে সরানো হয়।
• ap_parse_strict_length() ফাংশন কোডে যোগ করা হয়েছে কন্টেন্ট সাইজকে কঠোরভাবে পার্স করার জন্য।
• Mod_proxy_fcgi-এর ProxyFCGISetEnvIf নিশ্চিত করে যে পরিবেশ ভেরিয়েবলগুলি সরানো হয়েছে যদি প্রদত্ত অভিব্যক্তিটি False প্রদান করে।
• SSLProxyMachineCertificateFile সেটিং এর মাধ্যমে নির্দিষ্ট করা একটি ক্লায়েন্ট শংসাপত্র ব্যবহার করার সময় রেসের অবস্থা এবং সম্ভাব্য mod_ssl ক্র্যাশ স্থির করা হয়েছে।
• mod_ssl এ স্থায়ী মেমরি লিক।
• mod_proxy_http2 প্রক্সি প্যারামিটার ব্যবহার করে "পিং» ব্যাকএন্ডে একটি নতুন বা পুনঃব্যবহৃত সংযোগের কার্যকারিতা পরীক্ষা করার সময়।
• mod_systemd সক্রিয় করা হলে "-lsystemd" বিকল্পের সাথে httpd বাইন্ডিং বন্ধ করা হয়েছে।
• mod_proxy_http2 নিশ্চিত করে যে ব্যাকএন্ডে সংযোগের মাধ্যমে ইনকামিং ডেটার জন্য অপেক্ষা করার সময় ProxyTimeout সেটিংটি বিবেচনায় নেওয়া হয়েছে।

উত্স: opennet.ru