Udgivelse af http-serveren Apache 2.4.41 med sårbarhedslukninger

Publiceret Udgivelsen af HTTP-serveren Apache 2.4.41 (udgivelse 2.4.40 blev sprunget over), hvor der er præsenteret 23 ændringer og har rettet 6 sårbarheder:

• CVE-2019-10081 — et problem i mod_http2, der kan føre til hukommelseskorruption ved at sende push-anmodninger i et meget tidligt stadium. Ved brug af indstillingen „H2PushResource“ kan hukommelsesområdet i behandlingspuljen overskrives, men problemet er begrænset til nedbrud, da de skrevne data ikke er baseret på information modtaget fra klienten;
• CVE-2019-9517 — udsat for en nylig annonceret DoS-sårbarhed i implementeringerne af HTTP/2.
  En angriber kan udtømme den tilgængelige hukommelse for processen og skabe en stor belastning på CPU'en ved at åbne et glidende vindue for HTTP/2 til at sende data fra serveren uden begrænsninger, mens TCP-vinduet forbliver lukket, hvilket forhindrer data i at blive skrevet til socket;
• CVE-2019-10098 — et problem i mod_rewrite, der tillader serveren at videresende anmodninger til andre ressourcer (open redirect). Nogle indstillinger af mod_rewrite kan føre til, at en bruger videresendes til et andet link, der er kodet med et linjeskift-tegn inden for parameteren, der anvendes i et eksisterende redirect. For at blokere problemet kan flaget PCRE_DOTALL anvendes i RegexDefaultOptions, som nu er indstillet som standard;
• CVE-2019-10092 — mulighed for kryds-site scripting på fejl-sider udgivet af mod_proxy. På disse sider indsættes URL'en modtaget fra anmodningen, hvor angriberen kan indskyde vilkårlig HTML-kode gennem tegnforklaring;
• CVE-2019-10097 — stak-overløb og dereferencering af NULL-pegepind i mod_remoteip, udnyttet gennem manipulation af PROXY-protokolheaderen. Angrebet kan kun udføres fra den anvendte proxy-serverindstilling, ikke via klientens anmodning;
• CVE-2019-10082 — en sårbarhed i mod_http2, der tillader initiativet til at læse indhold fra et allerede frigivet hukommelsesområde (read-after-free) ved afslutning af forbindelsen.

De mest markante ændringer, der ikke vedrører sikkerhed:

• I mod_proxy_balancer er beskyttelsen mod XSS/XSRF-angreb fra betroede noder blevet styrket;
• I mod_session er der tilføjet en indstilling for SessionExpiryUpdateInterval til at bestemme opdateringsintervallet for udløbstidspunktet for sessioner/cookies;
• Der er udført en oprydning af fejl-sider, der har til formål at udelukke udskrivning af oplysninger fra anmodninger på disse sider;
• I mod_http2 er der nu taget højde for værdien af parameteren «LimitRequestFieldSize», som tidligere kun gjaldt for kontrol af HTTP/1.1 headerfelter;
• Der er sikret oprettelse af konfigurationen mod_proxy_hcheck ved brug af BalancerMember;
• Hukommelsesforbruget i mod_dav er blevet reduceret ved brug af PROPFIND-kommandoen over en stor samling;
• Problemer med angivelse af certifikatindstillinger og SSL i mod_proxy og mod_ssl er blevet løst inden for Proxy-blokken;
• Der er tilladt anvendelse af SSLProxyCheckPeer*-indstillinger i mod_proxy for alle proxy-moduler;
• Mulighederne for modulet mod_md, udviklet af Let’s Encrypt-projektet til automatisering af modtagelse og vedligeholdelse af certifikater ved hjælp af ACME-protokollen (Automatic Certificate Management Environment):
  • Den anden version af protokollen ACMEv2, som nu anvendes som standard, og bruger tomme POST-anmodninger i stedet for GET.
  • Der er tilføjet støtte til validering baseret på TLS-ALPN-01-udvidelsen (RFC 7301, Application-Layer Protocol Negotiation), som bruges i HTTP/2.
  • Støtten til valideringsmetoden ‘tls-sni-01’ er ophørt (på grund af sårbarheder).
  • Der er tilføjet kommandoer til opsætning og nedlukning af validering ved hjælp af metoden ‘dns-01’.
  • Tilføjet support for masker i certifikater ved aktivering af DNS-baseret validering (‘dns-01’).
  • En handler ‘md-status’ er implementeret, samt en side med status for certifikatet «https://domain/.httpd/certificate-status».
  • Der er tilføjet direktiverne «MDCertificateFile» og «MDCertificateKeyFile» til opsætning af domæneparametre gennem statiske filer (uden støtte til automatisk opdatering).
  • Der er tilføjet direktivet «MDMessageCmd» til at kalde eksterne kommandoer ved hændelserne ‘renewed’, ‘expiring’ eller ‘errored’.
  • Der er tilføjet direktivet «MDWarnWindow» til opsætning af en advarselsbesked om udløb af certifikatet;

Kilde: opennet.ru