vydání HTTP serveru Apache 2.4.46 (verze 2.4.44 a 2.4.45 byly vynechány), které zahrnuje a odstraněno :
- — přetečení vyrovnávací paměti v modulu mod_proxy_uwsgi, které může vést k úniku informací nebo k provedení kódu na serveru při odesílání speciálně vytvořeného požadavku. Zneužití zranitelnosti se provádí zasláním velmi dlouhé HTTP hlavičky. Pro ochranu byla přidána blokace hlaviček delších než 16K (omezení stanovené ve specifikaci protokolu).
- — zranitelnost v modulu mod_http2, která umožňuje způsobit pád procesu při odeslání požadavku se speciálně vytvořenou hlavičkou HTTP/2. Problém se projevuje při zapnutém ladění nebo trasování v modulu mod_http2 a projevuje se poškozením obsahu paměti v důsledku závodu při ukládání informací do logu. Problém se neprojevuje při nastavení LogLevel na hodnotu „info“.
- — zranitelnost v modulu mod_http2, která umožňuje způsobit pád procesu při odeslání požadavku se speciálně vytvořenou hodnotou hlavičky ‘Cache-Digest’ přes HTTP/2 (pád nastává při pokusu o provedení operace HTTP/2 PUSH pro zdroj). K blokování zranitelnosti lze použít nastavení „H2Push off“.
- — zranitelnost mod_remoteip, která umožňuje spoofování IP adres při proxy, využívající mod_remoteip a mod_rewrite. Problém se projevuje pouze pro verze od 2.4.1 do 2.4.23.
Nejvýznamnější změny, které nejsou spojeny s bezpečností:
- Podpora konceptu černé specifikace byla odstraněna z mod_http2 , její propagace byla zastavena.
- Chování direktivy „LimitRequestFields“ v mod_http2 bylo změněno, nyní nastavení hodnoty 0 deaktivuje omezení.
- V mod_http2 byla zajištěna práce s hlavními a sekundárními (master/secondary) spojeními a označování metod v závislosti na použití.
- Pokud je obdrženo nesprávné obsah hlavičky Last-Modified od skriptu FCGI/CGI, tato hlavička je nyní odstraněna, namísto aby byla nahrazena epochálním časem (Unix epoch).
- Do kódu byla přidána funkce ap_parse_strict_length() pro přísnou analýzu velikosti obsahu.
- Ve mod_proxy_fcgi v ProxyFCGISetEnvIf byla zajištěna odstranění proměnných prostředí, pokud daný výraz vrací False.
- Byl odstraněn závod a možný pád mod_ssl při použití klientského certifikátu určeného nastavením SSLProxyMachineCertificateFile.
- Byl odstraněn únik paměti v mod_ssl.
- V mod_proxy_http2 bylo zajištěno použití parametru proxy „“ při kontrole funkčnosti nového nebo opakovaně používaného spojení s backendem.
- Bylo zastaveno propojování httpd s volbou „-lsystemd“, pokud je aktivován mod_systemd.
- V mod_proxy_http2 byla zohledněna konfigurace ProxyTimeout při čekání na příchozí data prostřednictvím spojení s backendem.
Zdroj: opennet.ru
