llançament del servidor HTTP Apache 2.4.46 (les versions 2.4.44 i 2.4.45 es van saltar), que va introduir i eliminat :
- — un desbordament de memòria intermèdia al mòdul mod_proxy_uwsgi, que pot provocar una fuga d'informació o l'execució de codi al servidor quan s'envia una sol·licitud especialment dissenyada. La vulnerabilitat s'aprofita enviant una capçalera HTTP molt llarga. Per protegir-se, s'ha afegit el bloqueig de capçaleres de més de 16K (un límit definit a l'especificació del protocol).
- — una vulnerabilitat en el mòdul mod_http2 que permet que el procés es bloquegi quan s'envia una sol·licitud amb una capçalera HTTP/2 especialment dissenyada. El problema es manifesta quan s'habilita la depuració o el rastreig al mòdul mod_http2 i es reflecteix en la corrupció del contingut de la memòria a causa d'una condició de carrera quan es desa la informació al registre. El problema no apareix quan LogLevel s'estableix a "informació".
- — una vulnerabilitat al mòdul mod_http2 que permet que un procés es bloquegi quan s'envia una sol·licitud mitjançant HTTP/2 amb un valor de capçalera "Cache-Digest" especialment dissenyat (l'error es produeix quan s'intenta realitzar una operació HTTP/2 PUSH en un recurs) . Per bloquejar la vulnerabilitat, podeu utilitzar la configuració "H2Push off".
- — Vulnerabilitat mod_remoteip, que us permet falsificar adreces IP durant el proxy mitjançant mod_remoteip i mod_rewrite. El problema només apareix per a les versions 2.4.1 a 2.4.23.
Els canvis més destacats que no són de seguretat són:
- S'ha eliminat el suport per a l'esborrany de l'especificació de mod_http2 , la promoció del qual ha quedat aturada.
- S'ha canviat el comportament de la directiva "LimitRequestFields" a mod_http2; especificar un valor de 0 ara desactiva el límit.
- mod_http2 proporciona el processament de connexions primàries i secundàries (mestra/secundària) i el marcatge de mètodes en funció de l'ús.
- Si es rep contingut de capçalera de l'última modificació incorrecta d'un script FCGI/CGI, aquesta capçalera s'eliminarà en lloc de substituir-se a l'època Unix.
- La funció ap_parse_strict_length() s'ha afegit al codi per analitzar estrictament la mida del contingut.
- El ProxyFCGISetEnvIf de Mod_proxy_fcgi garanteix que les variables d'entorn s'eliminin si l'expressió donada retorna False.
- S'ha solucionat una condició de carrera i un possible bloqueig de mod_ssl quan s'utilitzava un certificat de client especificat mitjançant la configuració SSLProxyMachineCertificateFile.
- S'ha solucionat la fuga de memòria a mod_ssl.
- mod_proxy_http2 proporciona l'ús del paràmetre de proxy "» en comprovar la funcionalitat d'una connexió nova o reutilitzada al backend.
- S'ha deixat d'enllaçar httpd amb l'opció "-lsystemd" quan mod_systemd està habilitat.
- mod_proxy_http2 assegura que la configuració de ProxyTimeout es tingui en compte quan s'espera les dades entrants a través de connexions al backend.
Font: opennet.ru