udgivelsen af HTTP-serveren Apache 2.4.46 (udgivelserne 2.4.44 og 2.4.45 blev sprunget over), som præsenterer og har rettet :
- — buffer overflow i modulet mod_proxy_uwsgi, som kan føre til informationslækage eller eksekvering af kode på serveren ved at sende en specielt udformet anmodning. Udsnyttelse af sårbarheden sker ved at overføre meget lange HTTP-header. For at beskytte er der tilføjet en blokering af headere, der er længere end 16K (grænsen, der er fastsat i protokollens specifikation).
- — sårbarhed i modulet mod_http2, der tillader nedbrud af processen ved at sende en anmodning med en specielt udformet HTTP/2-header. Problemet opstår, når fejlfinding eller tracing er aktiveret i modulet mod_http2 og viser sig som beskadigelse af hukommelsesindholdet på grund af en race condition ved lagring af logoplysninger. Problemet opstår ikke, når LogLevel er sat til 'info'.
- — sårbarhed i modulet mod_http2, der tillader nedbrud af processen ved at sende en anmodning med en specielt udformet 'Cache-Digest'-header over HTTP/2 (nedbruddet opstår, når der forsøges at udføre en HTTP/2 PUSH-operation for ressourcen). For at blokere sårbarheden kan opsætningen 'H2Push off' anvendes.
- — sårbarhed i mod_remoteip, der tillader spoofing af IP-adresser ved proxying ved hjælp af mod_remoteip og mod_rewrite. Problemet opstår kun for versioner fra 2.4.1 til 2.4.23.
De mest markante ændringer, der ikke vedrører sikkerhed:
- Støtte til den udkastede specifikation i mod_http2 er blevet fjernet , hvis fremme er blevet stoppet.
- Adfærden af direktivet 'LimitRequestFields' i mod_http2 er ændret, hvor angivelse af værdien 0 nu deaktiverer begrænsningen.
- I mod_http2 er der sikret behandling af hoved- og sekundære (master/secondary) forbindelser og mærkning af metoder afhængigt af brugen.
- Ved modtagelse af ugyldigt indhold i headeren Last-Modified fra FCGI/CGI-skriptet, fjernes denne header nu i stedet for at blive erstattet ved epoch-tidspunktet (Unix epoch).
- Der er tilføjet en funktion ap_parse_strict_length() til strengt at analysere indholdsstørrelsen.
- I mod_proxy_fcgi er der i ProxyFCGISetEnvIf sikret fjernelse af miljøvariabler, hvis det angivne udtryk returnerer False.
- Tilstanden for løbende adgang og mulig nedbrud af mod_ssl er løst, når et klientsertifikat er angivet via SSLProxyMachineCertificateFile indstillingen.
- Hukommelseslækage i mod_ssl er udbedret.
- I mod_proxy_http2 er brugen af proxyparameteren «» sikret under kontrol af nye eller genbrugte forbindelser til backend.
- Bindingen af httpd med optionen «-lsystemd» er stoppet, hvis mod_systemd er aktiveret.
- I mod_proxy_http2 tages ProxyTimeout indstillingen i betragtning, når der ventes på indgående data via forbindelser til backend.
Kilde: opennet.ru
