{"id":111027,"date":"2023-10-22T03:10:14","date_gmt":"2023-10-22T01:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2"},"modified":"2023-10-22T03:10:14","modified_gmt":"2023-10-22T01:10:14","slug":"reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2","title":{"rendered":"Release of Apache HTTP server 2.4.58 with fixes for DoS vulnerabilities in HTTP\/2","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Udgivet er HTTP-serveren Apache 2.4.58, som pr\u00e6senterer 33 \u00e6ndringer og l\u00f8ser tre s\u00e5rbarheder, hvoraf to relaterer til muligheden for at udf\u00f8re DoS-angreb p\u00e5 systemer, der bruger HTTP\/2-protokollen. <\/p>\n
\n
CVE-2023-45802 \u2014 skabelse af betingelser for udt\u00f8mning af ledig hukommelse p\u00e5 grund af forsinket frigivelse af hukommelse efter nulstilling af HTTP\/2-forbindelsen med en RST-flagpakke. Da hukommelsen ikke frigives med det samme efter behandling af RST-flaget, men f\u00f8rst efter lukningen af forbindelsen, kan en angriber betydeligt \u00f8ge hukommelsesforbruget ved at sende nye anmodninger og nulstille dem med en RST-pakke, uden at lukke forbindelsen.\n
CVE-2023-43622 \u2014 uendelig blokering af behandlingen af HTTP\/2-forbindelser, hvis de blev \u00e5bnet med en initial glidende vinduesst\u00f8rrelse p\u00e5 0. S\u00e5rbarheden kan udnyttes til at skabe en denial-of-service ved at udt\u00f8mme gr\u00e6nsen for det maksimalt tilladte antal \u00e5bne forbindelser.\n
CVE-2023-31122 \u2014 s\u00e5rbarhed i mod_macro, som f\u00f8rer til l\u00e6sning af data fra uden for det allokerede bufferomr\u00e5de. <\/ul>\n
Blandt \u00e6ndringerne, der ikke er relateret til sikkerhed: <\/p>\n
\n
I mod_http2 er der tilf\u00f8jet underst\u00f8ttelse af at bruge WebSocket-protokollen over str\u00f8mmen i HTTP\/2-forbindelsen (RFC 8441). For at aktivere WebSocket over HTTP\/2 er direktivet 'H2WebSockets on|off' foresl\u00e5et.\n
I mod_http2 er der tilf\u00f8jet direktivet 'H2EarlyHint name value' for at tilf\u00f8je overskrifter i svaret '103 Early Hints'.\n
I mod_http2 er der tilf\u00f8jet direktivet 'H2ProxyRequests on|off' til at styre aktiveringen af behandlingen af anmodninger via HTTP\/2 i proxy-konfigurationen.\n
I mod_http2 er der tilf\u00f8jet direktivet 'H2MaxDataFrameLen n' for at begr\u00e6nse den maksimale st\u00f8rrelse af svaret i bytes, der sendes i en enkelt DATA-ramme i HTTP\/2. Som standard er gr\u00e6nsen sat til 16KB.\n
mime.types-filen er blevet opdateret, hvor udvidelsen '.js' er knyttet til typen 'text\/javascript' i stedet for 'application\/javascript', og der er tilf\u00f8jet udvidelserne: '.mjs' (med typen 'text\/javascript') og '.opus' ('audio\/ogg'). Der er tilf\u00f8jet MIME-typer og udvidelser, der anvendes i WebAssembly.\n
Modulet mod_tls (alternativ til mod_ssl i Rust) er \u00e6ndret til at bruge rustls-ffi-biblioteket 0.9.2+.\n
I mod_md er der tilf\u00f8jet direktivet 'MDMatchNames all|servernames' til at styre matchningen af MDomains med indholdet af VirtualHosts.\n
I mod_md er der tilf\u00f8jet direktivet 'MDChallengeDns01Version' til at v\u00e6lge versionen af ACME-protokollen, der anvendes ved verifikation via DNS.\n
I mod_md er brugen af direktivet MDChallengeDns01 tilladt for enkeltst\u00e5ende. dom\u00e6ner<\/a>.\n