Apache 2.4.46 http server release nga adunay mga kahuyangan nga naayo

gipatik pagpagawas sa Apache HTTP server 2.4.46 (pagpagawas sa 2.4.44 ug 2.4.45 gilaktawan), nga gipaila 17 pagbag-o ug giwagtang 3 mga kahuyang:

• CVE-2020-11984 — usa ka buffer overflow sa mod_proxy_uwsgi module, nga mahimong mosangpot sa leakage sa impormasyon o code execution sa server kung magpadala ug espesyal nga hangyo nga gihimo. Ang pagkahuyang gipahimuslan pinaagi sa pagpadala sa usa ka taas kaayo nga header sa HTTP. Alang sa proteksyon, ang pag-block sa mga header nga mas taas pa sa 16K gidugang (usa ka limitasyon nga gipasabut sa detalye sa protocol).
• CVE-2020-11993 — usa ka pagkahuyang sa mod_http2 module nga nagtugot sa proseso nga ma-crash kung magpadala usa ka hangyo nga adunay espesyal nga gidisenyo nga HTTP/2 header. Ang problema nagpakita sa iyang kaugalingon kung ang pag-debug o pagsubay gipagana sa mod_http2 module ug gipakita sa pagkadunot sa sulud sa panumduman tungod sa kahimtang sa lumba kung nagtipig sa kasayuran sa log. Ang problema dili makita kung ang LogLevel gibutang sa "info".
• CVE-2020-9490 — usa ka pagkahuyang sa mod_http2 module nga nagtugot sa usa ka proseso nga mag-crash kung magpadala usa ka hangyo pinaagi sa HTTP/2 nga adunay espesyal nga gidisenyo nga 'Cache-Digest' nga kantidad sa header (ang pagkahagsa mahitabo kung mosulay sa paghimo sa usa ka HTTP/2 PUSH nga operasyon sa usa ka kapanguhaan) . Aron mapugngan ang pagkahuyang, mahimo nimong gamiton ang setting nga "H2Push off".
• CVE-2020-11985 — mod_remoteip vulnerability, nga nagtugot kanimo sa pagpanglimbong sa mga IP address sa panahon sa proxying gamit ang mod_remoteip ug mod_rewrite. Ang problema makita lamang alang sa pagpagawas sa 2.4.1 ngadto sa 2.4.23.

Ang labing inila nga dili-seguridad nga mga pagbag-o mao ang:

• Ang suporta alang sa draft nga detalye gikuha gikan sa mod_http2 kazuho-h2-cache-digest, kansang promosyon gihunong.
• Giusab ang kinaiya sa "LimitRequestFields" nga direktiba sa mod_http2; ang pagtino sa usa ka bili sa 0 karon nagpugong sa limitasyon.
• Ang mod_http2 naghatag og pagproseso sa panguna ug sekondarya (master/secondary) nga koneksyon ug pagmarka sa mga pamaagi depende sa paggamit.
• Kung ang dili husto nga Last-Modified header content madawat gikan sa FCGI/CGI script, kini nga header tangtangon na karon kaysa pulihan sa Unix epoch time.
• Ang ap_parse_strict_length() function gidugang sa code aron higpit nga ma-parse ang gidak-on sa sulod.
• Ang Mod_proxy_fcgi's ProxyFCGISetEnvIf nagsiguro nga ang mga variable sa palibot matangtang kung ang gihatag nga ekspresyon mobalik nga False.
• Giayo ang kahimtang sa lumba ug posible nga mod_ssl crash kung mogamit usa ka sertipiko sa kliyente nga gitino pinaagi sa setting sa SSLProxyMachineCertificateFile.
• Giayo ang pagtulo sa memorya sa mod_ssl.
• Ang mod_proxy_http2 naghatag sa paggamit sa proxy parameter "ping» kung susihon ang pagpaandar sa usa ka bag-o o gigamit pag-usab nga koneksyon sa backend.
• Gihunong ang pagbugkos sa httpd gamit ang "-lsystemd" nga kapilian kung gi-enable ang mod_systemd.
• gisiguro sa mod_proxy_http2 nga ang setting sa ProxyTimeout gikonsiderar kung naghulat sa umaabot nga data pinaagi sa mga koneksyon sa backend.

Source: opennet.ru