Release des HTTP-Servers Apache 2.4.41 (Release 2.4.40 wurde übersprungen), in dem und behoben :
- — ein Problem in mod_http2, das zu einer Speicherbeschädigung führen kann, wenn Push-Anfragen sehr früh gesendet werden. Bei Verwendung der Einstellung „H2PushResource“ kann der Speicherbereich im Request-Processing-Pool überschrieben werden, jedoch ist das Problem auf einen Absturz begrenzt, da die geschriebenen Daten nicht auf Informationen basieren, die vom Client erhalten wurden;
- — anfällig für eine neue DoS-Sicherheitsanfälligkeit in den Implementierungen von HTTP/2.
Ein Angreifer kann den verfügbaren Speicher des Prozesses erschöpfen und eine hohe CPU-Auslastung erzeugen, indem er ein gleitendes Fenster von HTTP/2 öffnet, um Daten unbegrenzt vom Server zu senden, während das TCP-Fenster geschlossen bleibt, was tatsächlich das Schreiben von Daten in den Socket verhindert; - — ein Problem in mod_rewrite, das es dem Server ermöglicht, Anfragen an andere Ressourcen weiterzuleiten (open redirect). Einige Einstellungen von mod_rewrite können dazu führen, dass der Benutzer auf einen anderen Link umgeleitet wird, der innerhalb eines Parameters für ein bestehendes Redirect mit einem Zeilenumbruch kodiert ist. Um das Problem zu blockieren, kann im RegexDefaultOptions-Flag PCRE_DOTALL verwendet werden, das jetzt standardmäßig gesetzt ist;
- — die Möglichkeit, Cross-Site-Scripting auf den von mod_proxy ausgegebenen Fehlerseiten durchzuführen. Auf diesen Seiten wird die aus der Anfrage erhaltene URL in den Link eingefügt, sodass der Angreifer durch Escape-Zeichen beliebigen HTML-Code einfügen kann;
- — ein Stacküberlauf und dereferenzierender NULL-Zeiger in mod_remoteip, ausgenutzt durch Manipulationen mit dem PROXY-Protokoll-Header. Der Angriff kann nur von der Seite des in den Proxy-Servereinstellungen verwendeten Servers ausgeführt werden, nicht durch die Anfrage des Clients;
- — eine Sicherheitsanfälligkeit in mod_http2, die es erlaubt, beim Beenden der Verbindung den Inhalt aus bereits freigegebenem Speicher zu lesen (read-after-free).
Die auffälligsten Änderungen, die nicht mit Sicherheit zu tun haben:
- In mod_proxy_balancer wurde der Schutz vor XSS/XSRF-Angriffen von vertrauenswürdigen Knoten verstärkt;
- In mod_session wurde die Einstellung SessionExpiryUpdateInterval hinzugefügt, um das Intervall für die Aktualisierung der Ablaufzeit des Sitzungs-/Cookie zu bestimmen;
- Es wurde eine Bereinigung der Seiten mit Fehlern durchgeführt, um die Ausgabe von Informationen aus Anfragen auf diesen Seiten auszuschließen;
- In mod_http2 wurde die Berücksichtigung des Parameters „LimitRequestFieldSize“ sichergestellt, der zuvor nur zur Überprüfung der HTTP/1.1-Headerfelder galt;
- Die Erstellung der Konfiguration mod_proxy_hcheck wurde bei der Verwendung in BalancerMember sichergestellt;
- Der Speicherverbrauch in mod_dav wurde bei der Verwendung des Befehls PROPFIND für große Sammlungen reduziert;
- In mod_proxy und mod_ssl wurden Probleme mit der Angabe von Zertifikateinstellungen und SSL innerhalb des Proxy-Blocks behoben;
- In mod_proxy wurde die Anwendung von SSLProxyCheckPeer*-Einstellungen für alle Proxy-Module erlaubt;
- Die Möglichkeiten des Moduls wurden erweitert , dem Let’s Encrypt-Projekt zur Automatisierung der Ausstellung und Verwaltung von Zertifikaten mithilfe des ACME-Protokolls (Automatic Certificate Management Environment):
- Die zweite Version des Protokolls wurde hinzugefügt , die jetzt standardmäßig angewendet wird und leere POST-Anfragen anstelle von GET.
- Die Unterstützung für die Prüfung auf Basis der TLS-ALPN-01-Erweiterung (RFC 7301, Application-Layer Protocol Negotiation), die in HTTP/2 verwendet wird, wurde hinzugefügt.
- Die Unterstützung für die Prüfmethoden ‘tls-sni-01’ wurde eingestellt (aufgrund von ).
- Es wurden Befehle zur Konfiguration und Beendigung der Prüfung mittels 'dns-01' hinzugefügt.
- Unterstützung hinzugefügt für in Zertifikaten bei aktivierter DNS-basierten Prüfung (‘dns-01’).
- Ein Handler für ‘md-status’ und eine Seite mit dem Status des Zertifikats „https://domain/.httpd/certificate-status“ wurden implementiert.
- Die Direktiven „MDCertificateFile“ und „MDCertificateKeyFile“ wurden zur Konfiguration der Domainparameter über statische Dateien (ohne Unterstützung für die automatische Aktualisierung) hinzugefügt.
- Die Direktive „MDMessageCmd“ wurde hinzugefügt, um externe Befehle bei Auftreten von Ereignissen 'renewed', 'expiring' oder 'errored' aufzurufen.
- Die Direktive „MDWarnWindow“ wurde hinzugefügt, um eine Warnmeldung über das Ablaufen der Zertifikatsgültigkeit zu konfigurieren;
Quelle: opennet.ru
