Apache HTTP-server version 2.4.52 er udgivet med 25 ændringer og rettet 2 sårbarheder:
- CVE-2021-44790 — buffer overflow i mod_lua, der opstår ved behandling af anmodninger bestående af flere dele (multipart). Sårbarheden berører konfigurationer, hvor Lua-scripts kalder funktionen r:parsebody() for at analysere anmodningens krop, og giver en angriber mulighed for at udløse et buffer overflow ved at sende en specielt formuleret anmodning. Der er endnu ikke registreret ekstraktioner, men problemet kan potentielt føre til udførelse af ondsindet kode på serveren.
- CVE-2021-44224 — SSRF-sårbarhed (Server Side Request Forgery) i mod_proxy, der i konfigurationer med indstillingen 'ProxyRequests on' muliggør omdirigering af anmodningen til en anden handler på samme server, der accepterer forbindelser via Unix Domain Socket. Problemet kan også bruges til at fremkalde nedbrud ved at skabe betingelser for dereferencering af en null-peger. Problemet berører versioner af Apache httpd fra og med version 2.4.7.
De mest markante ændringer, der ikke vedrører sikkerhed:
- Støtte til opbygning med OpenSSL 3-biblioteket er blevet tilføjet i mod_ssl.
- Bedre bestemmelse af OpenSSL-biblioteket i autoconf scripts.
- I mod_proxy for tunneleringsprotokoller er der tilføjet mulighed for at deaktivere omdirigering af halvåbne TCP-forbindelser ved at indstille parameteren 'SetEnv proxy-nohalfclose'.
- Yderligere kontroller er blevet tilføjet for at sikre, at URI'er, der ikke er beregnet til proxyering, indeholder http/https skema, mens de, der er beregnet til proxyering, indeholder et værtsnavn.
- I mod_proxy_connect og mod_proxy er det forbudt at ændre statuskoden efter den er sendt til klienten.
- Når der sendes mellemliggende svar efter at have modtaget anmodninger med headeren 'Expect: 100-Continue', er det sikret, at resultatet viser status '100 Continue' i stedet for den aktuelle anmodningsstatus.
- I mod_dav er der tilføjet støtte til CalDAV-udvidelser, hvor generering af egenskaber skal tage hensyn til både dokumentelementer og egenskabselementer. Nye funktioner dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() og dav_find_attr() er tilføjet, som kan kaldes fra andre moduler.
- I mpm_event er der løst et problem med at stoppe inaktive børneprocesser efter en stigning i serverbelastningen.
- I mod_http2 er regressionsfejl, der fører til ukorrekt adfærd ved behandling af MaxRequestsPerChild og MaxConnectionsPerChild begrænsninger, blevet rettet.
- Funktionaliteten i mod_md-modulet, der anvendes til automatisering af opnåelse og vedligeholdelse af certifikater ved hjælp af ACME-protokollen (Automatic Certificate Management Environment), er blevet udvidet:
- Understøttelse af ACME External Account Binding (EAB) er blevet tilføjet, som aktiveres via direktivet MDExternalAccountBinding. Værdier for EAB kan konfigureres fra en ekstern fil i JSON-format, hvilket gør det muligt ikke at afsløre autentifikationsoplysninger i hovedfilen. serverkonfiguration.
- I direktivet ‘MDCertificateAuthority’ er der indført kontrol for angivelse af URL'en i parameteren http/https eller et af de foruddefinerede navne (‘LetsEncrypt’, ‘LetsEncrypt-Test’, ‘Buypass’ og ‘Buypass-Test’).
- Angivelse af direktivet MDContactEmail er tilladt inden for sektionen .
- Flere fejl er rettet, herunder en hukommelseslækage, som opstår ved fejl under indlæsning af den private nøgle.
Kilde: opennet.ru
