Udgivelsen af HTTP-serveren Apache 2.4.43 (udgivelse 2.4.42 blev sprunget over), som præsenterer og har rettet :
- CVE-2020-1927: sårbarhed i mod_rewrite, der gør det muligt at anvende serveren til at videresende anmodninger til andre ressourcer (open redirect). Nogle indstillinger i mod_rewrite kan føre til, at brugeren videresendes til et andet link, der er kodet med brug af linjeskifttegn inden for parameteren, der anvendes i den eksisterende omdirigering.
- CVE-2020-1934: sårbarhed i mod_proxy_ftp. Brug af ikke-initialiserede værdier kan føre til lækage af hukommelsesindhold, når der oprettes proxyanmodninger til en FTP-server, der kontrolleres af en angriber.
- Hukommelseslækage i mod_ssl, der opstår ved sammensætning af OCSP-anmodninger.
De mest markante ændringer, der ikke vedrører sikkerhed:
- En ny modul er tilføjet , der sikrer integration med systemstyringsværktøjet systemd. Modulet muliggør brugen af httpd i tjenester med typen "Type=notify".
- Støtte til kryds-kompilering er tilføjet i apxs.
- Funktionaliteten i mod_md-modulet, udviklet af Let’s Encrypt til automatisering af opnåelse og vedligeholdelse af certifikater ved hjælp af ACME-protokollen (Automatic Certificate Management Environment), er blevet udvidet:
- Der er tilføjet en direktiv MDContactEmail, hvormed du kan angive en kontakt-e-mail, der ikke overlapper med oplysningerne i direktivet ServerAdmin.
- Der er sikret kontrol for alle virtuelle værter om understøttelsen af den protokol, der anvendes ved forhandling af den sikre kommunikationskanal ("tls-alpn-01").
- Det er tilladt at bruge direktiverne mod_md i blokke og .
- Der er sikret erstatning af tidligere indstillinger ved genbrug af MDCAChallenges.
- Mulighed for konfiguration af url for CTLog Monitor er blevet tilføjet.
- For bestemte kommandoer angivet i direktivet MDMessageCmd er der sikret opkald med argumentet "installed" ved aktivering af det nye certifikat efter genstart af serveren (for eksempel kan det bruges til at kopiere eller konvertere det nye certifikat til andre applikationer).
- mod_proxy_hcheck har fået tilføjet understøttelse af masken %{Content-Type} i kontrollér udtryk.
- I mod_usertrack er der tilføjet tilstandene CookieSameSite, CookieHTTPOnly og CookieSecure til konfiguration af håndtering af brugertrack-Cookies.
- I mod_proxy_ajp for proxy-håndterere er parameteren "secret" implementeret for at understøtte det forældede autentificeringsprotokol AJP13.
- Et konfigurationssæt til OpenWRT er blevet tilføjet.
- I mod_ssl er der tilføjet støtte til brug af private nøgler og certifikater fra OpenSSL ENGINE ved at angive URI PKCS#11 i SSLCertificateFile/KeyFile.
- Testning er blevet implementeret ved hjælp af det kontinuerlige integrationssystem Travis CI.
- Der er blevet strammet op på analysen af overskrifterne Transfer-Encoding.
- I mod_ssl er der sikret protokolforhandling af TLS i bind til virtuelle værter (understøttet ved bygning med OpenSSL-1.1.1+).
- Ved at anvende hashing til kommandotabellerne er genstart i 'graceful' tilstand (uden afbrydelse af igangværende anmodningsbehandlere) blevet hurtigere.
- I mod_lua er der tilføjet tabellerne r:headers_in_table, r:headers_out_table, r:err_headers_out_table, r:notes_table og r:subprocess_env_table, som er tilgængelige i skrivemåde kun for læsning. Tildeling af værdien 'nil' til tabellerne er tilladt.
- I mod_authn_socache er grænsen for størrelsen af den cachede streng øget fra 100 til 256.
Kilde: opennet.ru
