mod_lua এ বাফার ওভারফ্লো ফিক্স সহ Apache 2.4.52 HTTP সার্ভারের রিলিজ

Apache HTTP সার্ভার 2.4.52 প্রকাশ করা হয়েছে, 25টি পরিবর্তন প্রবর্তন করে এবং 2টি দুর্বলতা দূর করে:

• CVE-2021-44790 হল mod_lua-এ একটি বাফার ওভারফ্লো যা মাল্টিপার্ট অনুরোধ পার্স করার সময় ঘটে। দুর্বলতা সেই কনফিগারেশনগুলিকে প্রভাবিত করে যেখানে লুয়া স্ক্রিপ্টগুলি অনুরোধের বডি পার্স করার জন্য r:parsebody() ফাংশনকে কল করে, একটি আক্রমণকারীকে একটি বিশেষভাবে তৈরি করা অনুরোধ পাঠানোর মাধ্যমে একটি বাফার ওভারফ্লো করার অনুমতি দেয়। একটি শোষণের কোন প্রমাণ এখনও সনাক্ত করা যায়নি, তবে সমস্যাটি সম্ভাব্যভাবে সার্ভারে এর কোডটি কার্যকর করতে পারে৷
• CVE-2021-44224 - mod_proxy-এ SSRF (সার্ভার সাইড রিকোয়েস্ট ফোরজি) দুর্বলতা, যা "ProxyRequests on" সেটিং এর সাথে কনফিগারেশনে, একটি বিশেষভাবে ডিজাইন করা URI-এর অনুরোধের মাধ্যমে, একই বিষয়ে অন্য হ্যান্ডলারের কাছে একটি অনুরোধ পুনঃনির্দেশ অর্জন করতে দেয়। সার্ভার যা ইউনিক্স ডোমেন সকেটের মাধ্যমে সংযোগ গ্রহণ করে। সমস্যাটি একটি নাল পয়েন্টার ডিরেফারেন্সের শর্ত তৈরি করে ক্র্যাশ ঘটাতেও ব্যবহার করা যেতে পারে। সমস্যাটি 2.4.7 সংস্করণ থেকে শুরু করে Apache httpd-এর সংস্করণকে প্রভাবিত করে।

সবচেয়ে উল্লেখযোগ্য অ-নিরাপত্তা পরিবর্তন:

• mod_ssl-এ OpenSSL 3 লাইব্রেরি তৈরির জন্য সমর্থন যোগ করা হয়েছে।
• autoconf স্ক্রিপ্টে উন্নত OpenSSL লাইব্রেরি সনাক্তকরণ।
• mod_proxy-এ, টানেলিং প্রোটোকলের জন্য, "SetEnv proxy-nohalfclose" প্যারামিটার সেট করে অর্ধ-বন্ধ TCP সংযোগের পুনঃনির্দেশ অক্ষম করা সম্ভব।
• অতিরিক্ত চেকগুলি যোগ করা হয়েছে যে URI গুলি প্রক্সি করার উদ্দেশ্যে নয় সেগুলিতে http/https স্কিম রয়েছে এবং প্রক্সি করার উদ্দেশ্যে হোস্টের নাম রয়েছে৷
• mod_proxy_connect এবং mod_proxy স্ট্যাটাস কোডটি ক্লায়েন্টকে পাঠানোর পরে পরিবর্তন করার অনুমতি দেয় না।
• "প্রত্যাশিত: 100-চালিয়ে যান" শিরোনাম সহ অনুরোধ পাওয়ার পরে মধ্যবর্তী প্রতিক্রিয়া পাঠানোর সময়, নিশ্চিত করুন যে ফলাফলটি অনুরোধের বর্তমান অবস্থার পরিবর্তে "100 চালিয়ে যান" এর স্থিতি নির্দেশ করে৷
• mod_dav CalDAV এক্সটেনশনগুলির জন্য সমর্থন যোগ করে, যার জন্য একটি সম্পত্তি তৈরি করার সময় নথির উপাদান এবং সম্পত্তি উপাদান উভয়ই বিবেচনায় নেওয়া প্রয়োজন। নতুন ফাংশন যোগ করা হয়েছে dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() এবং dav_find_attr(), যা অন্যান্য মডিউল থেকে কল করা যেতে পারে।
• mpm_event-এ, সার্ভার লোড বৃদ্ধির পরে নিষ্ক্রিয় শিশু প্রক্রিয়া বন্ধ করার সমস্যা সমাধান করা হয়েছে।
• Mod_http2 রিগ্রেশন পরিবর্তনগুলিকে সংশোধন করেছে যা MaxRequestsPerChild এবং MaxConnectionsPerChild নিষেধাজ্ঞাগুলি পরিচালনা করার সময় ভুল আচরণের কারণ হয়৷
• ACME (অটোমেটিক সার্টিফিকেট ম্যানেজমেন্ট এনভায়রনমেন্ট) প্রোটোকল ব্যবহার করে শংসাপত্রের রসিদ এবং রক্ষণাবেক্ষণ স্বয়ংক্রিয় করতে ব্যবহৃত mod_md মডিউলের ক্ষমতাগুলি প্রসারিত করা হয়েছে:
  • ACME External Account Binding (EAB) মেকানিজমের জন্য সমর্থন যোগ করা হয়েছে, MDExternalAccountBinding নির্দেশিকা ব্যবহার করে সক্ষম করা হয়েছে। প্রধান সার্ভার কনফিগারেশন ফাইলে প্রমাণীকরণের পরামিতিগুলি প্রকাশ করা এড়িয়ে EAB-এর মানগুলি একটি বাহ্যিক JSON ফাইল থেকে কনফিগার করা যেতে পারে।
  • 'MDCertificateAuthority' নির্দেশিকা নিশ্চিত করে যে URL প্যারামিটারে http/https বা পূর্বনির্ধারিত নামগুলির একটি রয়েছে ('LetsEncrypt', 'LetsEncrypt-Test', 'Buypass' এবং 'Buypass-Test')।
  • একটি বিভাগের ভিতরে MDContactEmail নির্দেশিকা নির্দিষ্ট করার অনুমতি দেওয়া হয়েছে৷ .
  • একটি প্রাইভেট কী লোড করা ব্যর্থ হলে মেমরি লিক সহ বেশ কয়েকটি বাগ সংশোধন করা হয়েছে।

উত্স: opennet.ru