Byla vydána verze HTTP serveru Apache 2.4.58, která přináší 33 změn a opravuje tři zranitelnosti, z nichž dvě souvisejí s možností provedení DoS útoku na systémy používající protokol HTTP/2.
- CVE-2023-45802 — vytváření podmínek pro vyčerpání volné paměti kvůli odloženému uvolnění paměti po resetování spojení HTTP/2 paketem s flagem RST. Jakmile je paměť uvolněna až po uzavření spojení, útočník může výrazně zvýšit spotřebu paměti tím, že posílá nové požadavky a resetuje je paketem RST, aniž by však uzavřel spojení.
- CVE-2023-43622 — nekonečné blokování zpracování spojení HTTP/2, pokud bylo otevřeno se nastavením počáteční velikosti posuvného okna na 0. Zranitelnost může být využita k provedení odmítnutí služby přes vyčerpání limitu na maximální počet otevřených spojení.
- CVE-2023-31122 — zranitelnost v mod_macro, vedoucí k čtení dat z oblasti mimo přidělený buffer.
Mezi změnami, které se netýkají bezpečnosti:
- Do mod_http2 byla přidána podpora použití protokolu WebSocket na vrcholu toku v HTTP/2 (RFC 8441). Pro povolení WebSocket na HTTP/2 byla navržena direktiva 'H2WebSockets on|off'.
- Do mod_http2 byla přidána direktiva 'H2EarlyHint name value' pro přidání hlaviček do odpovědi „103 Early Hints“.
- Do mod_http2 byla přidána direktiva 'H2ProxyRequests on|off' pro řízení zapnutí zpracování požadavků přes protokol HTTP/2 v konfiguraci proxy.
- Do mod_http2 byla přidána direktiva 'H2MaxDataFrameLen n' pro omezení maximální velikosti těla odpovědi v bytech, předávaného v jednom DATA rámci v HTTP/2. Výchozí limit je nastaven na 16 kB.
- Byl aktualizován soubor mime.types, ve kterém je přípona '.js' přiřazena typu 'text/javascript' místo 'application/javascript' a byly přidány přípony: '.mjs' (s typem 'text/javascript') a '.opus' ('audio/ogg'). Byly přidány MIME typy a přípony používané ve WebAssembly.
- Modul mod_tls (alternativa mod_ssl napsaná v Rustu) byl převeden na použití knihovny rustls-ffi 0.9.2+.
- Do modulu mod_md byla přidána direktiva 'MDMatchNames all|servernames' pro řízení přiřazení MDomains k obsahu VirtualHosts.
- Do modulu mod_md byla přidána direktiva 'MDChallengeDns01Version' pro výběr verze protokolu ACME používaného při ověřování přes DNS.
- V mod_md bylo povoleno použití direktivy MDChallengeDns01 pro jednotlivé domén..
- V mod_dav byla přidána direktiva ‚DavBasePath‘ pro nastavení cesty k základně repozitáře WebDav.
- V mod_alias byla přidána direktiva ‚AliasPreservePath‘ pro použití jako celá cesta hodnoty Alias v bloku Location.
- V mod_alias byla přidána direktiva ‚RedirectRelative‘, která umožňuje přesměrování pomocí relativních cest.
- Do direktivy ErrorLogFormat byly přidány formátové specifikátory %{z} a %{strftime-format}.
- V mod_deflate byla přidána direktiva ‚DeflateAlterETag‘ pro řízení změn ETag při použití komprese.
- Byla provedena optimalizace výkonu funkce send_brigade_nonblocking().
- V mod_status bylo zajištěno odstranění duplicit klíčů ‚BusyWorkers‘ a ‚IdleWorkers‘ a byl přidán nový čítač ‚GracefulWorkers‘.
Zdroj: opennet.ru
