Release of Apache HTTP server 2.4.58 with fixes for DoS vulnerabilities in HTTP/2

Udgivet er HTTP-serveren Apache 2.4.58, som præsenterer 33 ændringer og løser tre sårbarheder, hvoraf to relaterer til muligheden for at udføre DoS-angreb på systemer, der bruger HTTP/2-protokollen.

• CVE-2023-45802 - skaber betingelser for udtømning af ledig hukommelse på grund af forsinket frigivelse af hukommelse efter en nulstilling af HTTP/2-strømmen med RST-flaget. Da hukommelsen ikke frigives med det samme efter behandling af RST-flaget, men først efter lukningen af forbindelsen, kan en angriber betydeligt øge hukommelsesforbruget ved at sende nye anmodninger og nulstille dem med RST-pakken, uden at lukke forbindelsen.
• CVE-2023-43622 - uendelig blokering af behandling af HTTP/2-forbindelsen, hvis den blev åbnet med en initial glidende vinduesstørrelse på 0. Sårbarheden kan bruges til at skabe en tjenestenægtelse ved at udtømme grænsen for det maksimalt tilladte antal åbne forbindelser.
• CVE-2023-31122 - sårbarhed i mod_macro, der fører til læsning af data uden for den tildelte buffer.

Blandt ændringerne, der ikke er relateret til sikkerhed:

• I mod_http2 er der tilføjet støtte til brug af WebSocket-protokollen over strømmen i HTTP/2-forbindelsen (RFC 8441). For at aktivere WebSocket over HTTP/2 er direktivet ‘H2WebSockets on|off’ blevet foreslået.
• I mod_http2 er direktivet ‘H2EarlyHint name value’ tilføjet for at tilføje overskrifter til svaret ‘103 Early Hints’.
• I mod_http2 er direktivet ‘H2ProxyRequests on|off’ tilføjet for at styre aktiveringen af behandling af anmodninger via HTTP/2 i proxy-konfigurationen.
• I mod_http2 er direktivet ‘H2MaxDataFrameLen n’ tilføjet for at begrænse den maksimale størrelse af svaret i bytes, der sendes i et enkelt DATA-ramme i HTTP/2. Standardgrænsen er sat til 16KB.
• Mime.types-filen er opdateret, hvor udvidelsen ‘.js’ er knyttet til typen ‘text/javascript’ i stedet for ‘application/javascript’, og der er tilføjet udvidelser: ‘.mjs’ (med typen ‘text/javascript’) og ‘.opus’ (‘audio/ogg’). MIME-typer og udvidelser anvendt i WebAssembly er blevet tilføjet.
• Modulet mod_tls (alternativ til mod_ssl i Rust) er ændret til at bruge rustls-ffi-biblioteket 0.9.2+.
• I modulet mod_md er direktivet ‘MDMatchNames all|servernames’ tilføjet for at styre matchningen af MDomains med indholdet af VirtualHosts.
• I modulet mod_md er direktivet ‘MDChallengeDns01Version’ tilføjet for at vælge versionen af ACME-protokollen, der anvendes til verifikation via DNS.
• I mod_md er brugen af direktivet MDChallengeDns01 tilladt for enkeltstående. domæner.
• Der mod_dav har fået tilføjet direktivet 'DavBasePath' til at konfigurere stien til rodmappen for WebDav.
• Der er tilføjet et direktiv 'AliasPreservePath' i mod_alias til brug som den fulde sti for Alias i Location-blokken.
• Der er tilføjet et direktiv 'RedirectRelative' i mod_alias, der tillader omdirigering ved brug af relative stier.
• Formatparametrene %{z} og %{strftime-format} er blevet tilføjet til direktivet ErrorLogFormat.
• Der er tilføjet et direktiv 'DeflateAlterETag' i mod_deflate for at styre ændringer af ETag ved brug af komprimering.
• Ydelsen af funktionen send_brigade_nonblocking() er optimeret.
• I mod_status er der sikret fjernelse af dublerede nøgler 'BusyWorkers' og 'IdleWorkers', samt tilføjet en ny tæller 'GracefulWorkers'.

Kilde: opennet.ru