llançament del servidor HTTP Apache 2.4.41 (es va saltar la versió 2.4.40), que va introduir i eliminat :
- és un problema a mod_http2 que pot provocar una corrupció de la memòria quan s'envien sol·licituds push en una fase molt primerenca. Quan s'utilitza la configuració "H2PushResource", és possible sobreescriure la memòria a l'agrupació de processament de sol·licituds, però el problema es limita a un error perquè les dades que s'escriuen no es basen en la informació rebuda del client;
- - exposició recent Vulnerabilitats DoS en implementacions HTTP/2.
Un atacant pot esgotar la memòria disponible per a un procés i crear una gran càrrega de CPU obrint una finestra HTTP/2 lliscant perquè el servidor enviï dades sense restriccions, però mantenint la finestra TCP tancada, evitant que les dades s'escriguin realment al sòcol; - - un problema a mod_rewrite, que us permet utilitzar el servidor per reenviar peticions a altres recursos (redirecció oberta). Alguns paràmetres de mod_rewrite poden fer que l'usuari sigui reenviat a un altre enllaç, codificat amb un caràcter de nova línia dins d'un paràmetre utilitzat en una redirecció existent. Per bloquejar el problema a RegexDefaultOptions, podeu utilitzar el senyalador PCRE_DOTALL, que ara està configurat per defecte;
- - la capacitat de realitzar scripts entre llocs a les pàgines d'error mostrades per mod_proxy. En aquestes pàgines, l'enllaç conté l'URL obtingut a partir de la sol·licitud, en el qual un atacant pot inserir codi HTML arbitrari mitjançant l'escapament de caràcters;
- — Desbordament de pila i desreferència del punter NULL a mod_remoteip, explotat mitjançant la manipulació de la capçalera del protocol PROXY. L'atac només es pot dur a terme des del costat del servidor intermediari utilitzat a la configuració, i no mitjançant una sol·licitud del client;
- - una vulnerabilitat en mod_http2 que permet, en el moment de la finalització de la connexió, iniciar la lectura de continguts des d'una àrea de memòria ja alliberada (read-after-free).
Els canvis més destacats que no són de seguretat són:
- mod_proxy_balancer ha millorat la protecció contra atacs XSS/XSRF d'iguals de confiança;
- S'ha afegit una configuració SessionExpiryUpdateInterval a mod_session per determinar l'interval per actualitzar el temps d'expiració de la sessió/galeta;
- Es van netejar pàgines amb errors, amb l'objectiu d'eliminar la visualització d'informació de les sol·licituds d'aquestes pàgines;
- mod_http2 té en compte el valor del paràmetre "LimitRequestFieldSize", que abans només era vàlid per comprovar els camps de capçalera HTTP/1.1;
- Assegura que la configuració mod_proxy_hcheck es crea quan s'utilitza a BalancerMember;
- Reducció del consum de memòria a mod_dav quan s'utilitza l'ordre PROPFIND en una col·lecció gran;
- A mod_proxy i mod_ssl, s'han resolt els problemes per especificar la configuració del certificat i SSL dins del bloc Proxy;
- mod_proxy permet aplicar la configuració de SSLProxyCheckPeer* a tots els mòduls proxy;
- S'han ampliat les capacitats del mòdul , Projecte Let's Encrypt per automatitzar la recepció i manteniment de certificats mitjançant el protocol ACME (Automatic Certificate Management Environment):
- S'ha afegit una segona versió del protocol , que ara és l'opció predeterminada i sol·licituds POST buides en lloc de GET.
- S'ha afegit suport per a la verificació basat en l'extensió TLS-ALPN-01 (RFC 7301, Negociació del protocol de capa d'aplicació), que s'utilitza a HTTP/2.
- El suport per al mètode de verificació 'tls-sni-01' s'ha interromput (a causa de ).
- S'han afegit ordres per configurar i trencar la comprovació mitjançant el mètode "dns-01".
- Suport afegit als certificats quan la verificació basada en DNS està habilitada ('dns-01').
- S'ha implementat el controlador "md-status" i la pàgina d'estat del certificat "https://domain/.httpd/certificate-status".
- S'han afegit les directives "MDCertificateFile" i "MDCertificateKeyFile" per configurar els paràmetres del domini mitjançant fitxers estàtics (sense suport d'actualització automàtica).
- S'ha afegit la directiva "MDMessageCmd" per cridar ordres externes quan es produeixen esdeveniments "renovats", "caducants" o "errors".
- S'ha afegit la directiva "MDWarnWindow" per configurar un missatge d'advertència sobre la caducitat del certificat;
Font: opennet.ru
