Veröffentlichung des HTTP-Servers Apache 2.4.58 mit der Behebung von DoS-Sicherheitsanfälligkeiten in HTTP/2

Die Veröffentlichung des HTTP-Servers Apache 2.4.58 wurde bekannt gegeben, in dem 33 Änderungen und drei Sicherheitsanfälligkeiten behoben wurden, von denen zwei mit der Möglichkeit eines DoS-Angriffs auf Systeme, die das HTTP/2-Protokoll verwenden, in Zusammenhang stehen.

• CVE-2023-45802 — Schaffung von Bedingungen für das Aufbrauchen von freiem Speicher aufgrund der verzögerten Speicherfreigabe nach dem Zurücksetzen eines HTTP/2-Streams mit einem RST-Flag. Da der Speicher nicht sofort nach Verarbeitung des RST-Flags, sondern erst nach Schließung der Verbindung freigegeben wird, kann ein Angreifer den Speicherverbrauch erheblich erhöhen, indem er neue Anfragen sendet und diese mit einem RST-Paket zurücksetzt, ohne die Verbindung zu schließen.
• CVE-2023-43622 — Unendliche Blockierung der Verarbeitung einer HTTP/2-Verbindung, wenn sie mit einer anfänglichen Größe des Gleitfensters von 0 geöffnet wurde. Diese Schwachstelle kann für einen Denial-of-Service-Angriff genutzt werden, indem das Limit für die maximal zulässige Anzahl von offenen Verbindungen erschöpft wird.
• CVE-2023-31122 — Schwachstelle in mod_macro, die dazu führt, dass Daten aus einem Bereich außerhalb des zugewiesenen Puffers gelesen werden.

Unter den Änderungen, die nicht sicherheitsrelevant sind:

• In mod_http2 wurde die Unterstützung für die Verwendung des WebSocket-Protokolls über den Stream in der HTTP/2-Verbindung (RFC 8441) hinzugefügt. Um WebSocket über HTTP/2 zu aktivieren, wurde die Direktive 'H2WebSockets on|off' vorgeschlagen.
• In mod_http2 wurde die Direktive 'H2EarlyHint name value' hinzugefügt, um Header in der Antwort '103 Early Hints' hinzuzufügen.
• In mod_http2 wurde die Direktive 'H2ProxyRequests on|off' hinzugefügt, um die Verarbeitung von Anfragen nach dem HTTP/2-Protokoll in der Proxy-Konfiguration zu steuern.
• In mod_http2 wurde die Direktive 'H2MaxDataFrameLen n' hinzugefügt, um die maximale Größe des Antwortkörpers in Bytes zu beschränken, die in einem DATA-Frame in HTTP/2 übertragen wird. Standardmäßig ist ein Limit von 16 KB festgelegt.
• Die Datei mime.types wurde aktualisiert, in der die Erweiterung '.js' mit dem Typ 'text/javascript' anstelle von 'application/javascript' verknüpft ist, und die Erweiterungen '.mjs' (mit dem Typ 'text/javascript') und '.opus' ('audio/ogg') wurden hinzugefügt. Außerdem wurden MIME-Typen und Erweiterungen hinzugefügt, die in WebAssembly verwendet werden.
• Das Modul mod_tls (Alternativen zu mod_ssl in Rust) wurde auf die Verwendung der Bibliothek rustls-ffi 0.9.2+ umgestellt.
• Im Modul mod_md wurde die Direktive 'MDMatchNames all|servernames' hinzugefügt, um die Zuordnung von MDomains zu den Inhalten der VirtualHosts zu steuern.
• Im Modul mod_md wurde die Direktive 'MDChallengeDns01Version' hinzugefügt, um die Version des ACME-Protokolls auszuwählen, die bei der Verifizierung über DNS verwendet wird.
• Im mod_md wurde die Verwendung der Direktive MDChallengeDns01 für einzelne Domains.
• In mod_dav wurde die Direktive ‚DavBasePath‘ hinzugefügt, um den Pfad zum Wurzelverzeichnis von WebDav zu konfigurieren.
• In mod_alias wurde die Direktive ‚AliasPreservePath‘ hinzugefügt, um den Aliaswert im Location-Block als vollständigen Pfad zu verwenden.
• In mod_alias wurde die Direktive ‚RedirectRelative‘ hinzugefügt, die eine Umleitung mit relativen Pfaden zulässt.
• Die Direktive ErrorLogFormat wurde um die Format-Spezifizierer %{z} und %{strftime-format} erweitert.
• In mod_deflate wurde die Direktive ‚DeflateAlterETag‘ hinzugefügt, um die Änderung des ETag bei der Verwendung von Kompression zu steuern.
• Die Leistung der Funktion send_brigade_nonblocking() wurde optimiert.
• In mod_status wurde die Duplikation der Schlüssel „BusyWorkers“ und „IdleWorkers“ entfernt, und ein neuer Zähler „GracefulWorkers“ hinzugefügt.

Quelle: opennet.ru