uvedení HTTP serveru Apache 2.4.41 (verze 2.4.40 byla přeskočena), který představuje a odstraněno :
- — problém v mod_http2, který může vést k poškození paměti při odesílání push požadavků v velmi rané fázi. Při použití nastavení „H2PushResource“ může dojít k přepsání oblasti paměti v poolu zpracování požadavků, ale problém je omezen na pád, protože zapisovaná data nejsou založena na informacích získaných od klienta;
- — zranitelnost nedávno od DoS útoku v implementacích HTTP/2.
Útočník může vyčerpat dostupnou paměť procesu a způsobit vysokou zátěž CPU otevřením klouzavého okna HTTP/2 pro odesílání dat ze serveru bez omezení, zatímco drží TCP okno zavřené, což skutečně neumožňuje zápis dat do socketu; - — problém v mod_rewrite, který umožňuje serveru přesměrovávat žádosti na jiné zdroje (open redirect). Některé konfigurace mod_rewrite mohou vést k přesměrování uživatele na jiný odkaz zakódovaný pomocí znaku nového řádku uvnitř parametru, používaného v existujícím přesměrování. Pro blokování problému v RegexDefaultOptions lze použít příznak PCRE_DOTALL, který je nyní nastaven jako výchozí;
- — možnost provádění meziwebového skriptování na chybových stránkách vytvářených mod_proxy. Na těchto stránkách je do odkazu vložen URL získaný z požadavku, do kterého útočník může skrze escapování znaků vložit libovolný HTML kód;
- — přetečení zásobníku a dereference NULL ukazatele v mod_remoteip, zneužívané prostřednictvím manipulací s PROXY protokolovým záhlavím. Útok může být proveden pouze ze strany používané v nastavení proxy serveru, a nikoli prostřednictvím žádosti klienta;
- — zranitelnost v mod_http2, která umožňuje při ukončení spojení iniciovat čtení obsahu z již uvolněné oblasti paměti (read-after-free).
Nejvýznamnější změny, které nejsou spojeny s bezpečností:
- V mod_proxy_balancer byla posílena ochrana proti XSS/XSRF útokům ze strany důvěryhodných uzlů;
- V mod_session byla přidána nastavení SessionExpiryUpdateInterval pro určení intervalu pro aktualizaci času vypršení životnosti sezení / cookie;
- Provedena úprava chybových stránek s cílem vyloučit zobrazení informací získaných z požadavků na těchto stránkách;
- V mod_http2 byl zohledněn parametr „LimitRequestFieldSize“, který dříve platil pouze pro kontrolu polí HTTP hlaviček/1.1;
- Byla zajištěna konfigurace mod_proxy_hcheck při jeho použití v BalancerMember;
- Byla snížena spotřeba paměti v mod_dav při použití příkazu PROPFIND na velké kolekci;
- V mod_proxy a mod_ssl byly vyřešeny problémy s nastavením certifikátů a SSL uvnitř bloku Proxy;
- V mod_proxy bylo povoleno použití nastavení SSLProxyCheckPeer* pro všechny proxy moduly;
- Rozšířeny možnosti modulu , projektem Let’s Encrypt pro automatizaci získávání a údržby certifikátů pomocí protokolu ACME (Automatic Certificate Management Environment):
- Byla přidána druhá verze protokolu , která je nyní aplikována jako výchozí a prázdné požadavky POST místo GET.
- Byla přidána podpora pro kontrolu na základě rozšíření TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation), které se používá v HTTP/2.
- Podpora metody kontroly ‘tls-sni-01’ byla ukončena (kvůli ).
- Byly přidány příkazy pro konfiguraci a ukončení kontroly metodou ‘dns-01’.
- Byla přidána podpora v certifikátech při aktivaci kontroly na základě DNS (‘dns-01’).
- Byl implementován zpracovatel ‘md-status’ a stránka se stavem certifikátu „https://domain/.httpd/certificate-status“.
- Byly přidány direktivy „MDCertificateFile“ a „MDCertificateKeyFile“ pro konfiguraci parametrů domén prostřednictvím statických souborů (bez podpory automatického obnovení).
- Byla přidána direktiva „MDMessageCmd“ pro volání externích příkazů při událostech ‘renewed’, ‘expiring’ nebo ‘errored’.
- Byla přidána direktiva „MDWarnWindow“ pro nastavení varovného hlášení o vypršení platnosti certifikátu;
Zdroj: opennet.ru
