Byl vydán novější release HTTP serveru Apache 2.4.52, který obsahuje 25 změn a opravuje 2 zranitelnosti:
- CVE-2021-44790 — přetečení bufferu v mod_lua, které se projevuje při zpracování multipart požadavků. Zranitelnost ovlivňuje konfigurace, kde Lua skripty volají funkci r:parsebody() pro zpracování těla požadavku, a umožňuje útočníkovi dosáhnout přetečení bufferu odesláním speciálně upraveného požadavku. Dosud nebyly nalezeny žádné známky existence exploitu, nicméně problém by mohl potenciálně vést k vykonání vlastního kódu na serveru.
- CVE-2021-44224 — zranitelnost SSRF (Server Side Request Forgery) v mod_proxy, která umožňuje v konfiguracích s nastavením „ProxyRequests on“ prostřednictvím požadavku speciálně upraveného URI dosáhnout přesměrování požadavku na jiný zpracovatel na stejném serveru, který přijímá spojení přes Unix Domain Socket. Problém může být také využit k vyvolání pádu v důsledku vytvoření podmínek pro dereferenci null ukazatele. Problém se týká verzí Apache httpd počínaje verzí 2.4.7.
Nejvýznamnější změny, které nejsou spojeny s bezpečností:
- V mod_ssl byla přidána podpora pro sestavení s knihovnou OpenSSL 3.
- Vylepšeno určení knihovny OpenSSL ve skriptech autoconf.
- V mod_proxy pro tunelovací protokoly byla zavedena možnost deaktivovat přesměrování half-close TCP spojení nastavením parametru „SetEnv proxy-nohalfclose“.
- Byly přidány další kontroly, že URI, které nejsou určeny pro proxy, obsahují schéma http/https, a že ta, která jsou určena pro proxy, obsahují název hostitele.
- V mod_proxy_connect a mod_proxy je zakázána změna kódu stavu po jeho odeslání klientovi.
- Při odesílání mezilehlých odpovědí po obdržení požadavků s hlavičkou „Expect: 100-Continue“ je zajištěno, že v odpovědi bude uvedeno „100 Continue“, a ne aktuální stav požadavku.
- V mod_dav byla přidána podpora pro rozšíření CalDAV, kde při generování vlastnosti musí být zahrnuty jak prvky dokumentu, tak prvky vlastnosti. Byly přidány nové funkce dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() a dav_find_attr(), které lze volat z jiných modulů.
- V mpm_event byl vyřešen problém se zastavením nečinných potomků po nárůstu zatížení serveru.
- V mod_http2 byly odstraněny regresivní změny, které vedly k nesprávnému chování při zpracování omezení MaxRequestsPerChild a MaxConnectionsPerChild.
- Byly rozšířeny možnosti modulu mod_md, který se používá k automatizaci získávání a správy certifikátů pomocí protokolu ACME (Automatic Certificate Management Environment):
- Byla přidána podpora mechanismu ACME External Account Binding (EAB), který se aktivuje pomocí direktivy MDExternalAccountBinding. Hodnoty pro EAB mohou být nastaveny z externího souboru ve formátu JSON, což umožňuje nezveřejňovat autentifikační parametry v hlavním souboru. konfigurace serveru.
- V direktivě 'MDCertificateAuthority' je zajištěna kontrola, zda je v parametru URL uvedeno http/https nebo jedno z předdefinovaných jmen ('LetsEncrypt', 'LetsEncrypt-Test', 'Buypass' a 'Buypass-Test').
- Bylo povoleno uvedení direktivy MDContactEmail uvnitř sekce .
- Bylo opraveno několik chyb, včetně odstranění úniku paměti, který se vyskytoval při selháních během načítání privátního klíče.
Zdroj: opennet.ru
