Die Veröffentlichung des HTTP-Servers Apache 2.4.52 beinhaltet 25 Änderungen und behebt 2 Sicherheitsanfälligkeiten:
- CVE-2021-44790 – Pufferüberlauf in mod_lua, der beim Parsen von Anfragen mit mehreren Teilen (multipart) auftritt. Diese Sicherheitsanfälligkeit betrifft Konfigurationen, in denen Lua-Skripte die Funktion r:parsebody() zum Parsen des Anfragekörpers aufrufen, und ermöglicht es einem Angreifer, durch das Senden einer speziell gestalteten Anfrage einen Pufferüberlauf zu verursachen. Bisher wurden keine Exploits festgestellt, aber das Problem könnte potenziell zur Ausführung eigenen Codes auf Server.
- CVE-2021-44224 – SSRF-Sicherheitsanfälligkeit (Server Side Request Forgery) in mod_proxy, die in Konfigurationen mit der Einstellung „ProxyRequests on“ es ermöglicht, über eine speziell gestaltete URI-Anfrage den Request auf einen anderen Handler auf demselben Server, der Verbindungen über Unix Domain Socket annimmt, umzuleiten. Das Problem kann auch zur Herstellung von Bedingungen für das Dereferenzieren eines Nullzeigers genutzt werden. Es betrifft Apache httpd-Versionen ab 2.4.7.
Die auffälligsten Änderungen, die nicht mit Sicherheit zu tun haben:
- mod_ssl hat Unterstützung für die Kompilierung mit der OpenSSL 3-Bibliothek hinzugefügt.
- Die Erkennung der OpenSSL-Bibliothek in Autoconf-Skripten wurde verbessert.
- In mod_proxy für Tunnelprotokolle wurde die Möglichkeit hinzugefügt, die Umleitung von halb geschlossenen (half-close) TCP-Verbindungen durch Setzen des Parameters „SetEnv proxy-nohalfclose“ zu deaktivieren.
- Zusätzliche Überprüfungen wurden hinzugefügt, um sicherzustellen, dass URIs, die nicht für das Proxying bestimmt sind, ein http/https Schema enthalten, während die für das Proxying bestimmten ein Hostnamen enthalten.
- In mod_proxy_connect und mod_proxy ist es nicht mehr erlaubt, den Statuscode nach dessen Sendung an den Client zu ändern.
- Bei der Sendung von Zwischenantworten nach Erhalt von Anfragen mit dem Header „Expect: 100-Continue“ wurde sichergestellt, dass im Resultat der Status „100 Continue“ angegeben wird, anstatt des aktuellen Status der Anfrage.
- In mod_dav wurde die Unterstützung von CalDAV-Erweiterungen hinzugefügt, bei denen bei der Generierung von Eigenschaften sowohl Dokumentelemente als auch Eigenschaften berücksichtigt werden müssen. Neue Funktionen dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() und dav_find_attr() wurden hinzugefügt, die aus anderen Modulen aufgerufen werden können.
- Im mpm_event wurde das Problem mit dem Stoppen von inaktiven Kindprozessen nach einem Lastschub auf dem Server behoben.
- In mod_http2 wurden regressiven Änderungen, die zu fehlerhaftem Verhalten bei der Verarbeitung von MaxRequestsPerChild- und MaxConnectionsPerChild-Beschränkungen führen, behoben.
- Die Funktionen des mod_md-Moduls, das zur Automatisierung der Beschaffung und Verwaltung von Zertifikaten unter Verwendung des ACME-Protokolls (Automatic Certificate Management Environment) eingesetzt wird, wurden erweitert:
- Die Unterstützung des ACME External Account Binding (EAB) Mechanismus wurde hinzugefügt, der über die Direktive MDExternalAccountBinding aktiviert wird. Die Werte für EAB können aus einer externen Datei im JSON-Format konfiguriert werden, wodurch Anmeldeinformationen im Hauptdokument nicht offengelegt werden müssen. Serverkonfiguration hinzugefügt..
- In der Direktive ‘MDCertificateAuthority’ wird sichergestellt, dass die URL im Parameter http/https oder eines der vordefinierten Namen (‘LetsEncrypt’, ‘LetsEncrypt-Test’, ‘Buypass’ und ‘Buypass-Test’) angegeben wird.
- Es ist nun erlaubt, die Direktive MDContactEmail innerhalb des Abschnitts anzugeben.
- Mehrere Fehler wurden behoben, darunter eine Speicherleck-Fehler, der bei der Ladung des privaten Schlüssels auftrat.
Quelle: opennet.ru
