Release des HTTP-Servers Apache 2.4.46 mit Behebungen von Sicherheitsanfälligkeiten.

Veröffentlicht Die Veröffentlichung des HTTP-Servers Apache 2.4.46 (die Versionen 2.4.44 und 2.4.45 wurden übersprungen) bringt 17 Änderungen und behebt 3 Schwachstellen:

• CVE-2020-11984 — ein Pufferüberlauf im Modul mod_proxy_uwsgi, der zu einer Informationsleckage oder zur Ausführung von Code auf dem Server führen kann, wenn eine speziell formatierte Anfrage gesendet wird. Die Ausnutzung der Schwachstelle erfolgt durch das Senden eines sehr langen HTTP-Headers. Zum Schutz wurde eine Sperre für Header eingeführt, die länger als 16K sind (eine Einschränkung, die in der Protokollspezifikation festgelegt ist).
• CVE-2020-11993 — eine Schwachstelle im Modul mod_http2, die einen Absturz des Prozesses verursachen kann, wenn eine Anfrage mit einem speziell formatierten HTTP/2-Header gesendet wird. Das Problem tritt auf, wenn das Debugging oder das Tracing im Modul mod_http2 aktiviert ist, und äußert sich in einer Beschädigung des Speicherinhalts aufgrund eines Rennens beim Speichern von Informationen im Protokoll. Das Problem tritt nicht auf, wenn das LogLevel auf 'info' gesetzt ist.
• CVE-2020-9490 — eine Sicherheitsanfälligkeit im Modul mod_http2, die einen Absturz des Prozesses ermöglicht, wenn ein HTTP/2-Antrag mit einem speziell gestalteten Wert im Header ‚Cache-Digest‘ gesendet wird (der Absturz tritt auf, wenn versucht wird, eine HTTP/2 PUSH-Operation für die Ressource durchzuführen). Um die Schwachstelle zu blockieren, kann die Einstellung ‚H2Push off‘ verwendet werden.
• CVE-2020-11985 — eine Schwachstelle in mod_remoteip, die IP-Adressen beim Proxying unter Verwendung von mod_remoteip und mod_rewrite spoofbar macht. Das Problem tritt nur in den Versionen 2.4.1 bis 2.4.23 auf.

Die bemerkenswertesten Änderungen, die nicht sicherheitsrelevant sind:

• Die Unterstützung für die Entwurfsspezifikation wurde aus mod_http2 entfernt. kazuho-h2-cache-digest, deren Förderung eingestellt wurde.
• Das Verhalten der Direktive ‚LimitRequestFields‘ in mod_http2 wurde geändert, das Angeben des Wertes 0 deaktiviert jetzt die Einschränkung.
• In mod_http2 wird die Behandlung von Haupt- und sekundären (master/secondary) Verbindungen sowie die Markierung von Methoden je nach Nutzung bereitgestellt.
• Im Falle des Erhalts eines ungültigen ‚Last-Modified‘-Headers von einem FCGI/CGI-Skript wird dieser Header nun entfernt, anstatt epochale Zeit (Unix-Epoche) ersetzt zu werden.
• Im Code wurde die Funktion ap_parse_strict_length() für die strenge Analyse der Content-Größe hinzugefügt.
• In mod_proxy_fcgi entfernt ProxyFCGISetEnvIf Umgebungsvariablen, wenn der angegebene Ausdruck False zurückgibt.
• Ein Rennzustand und ein möglicher Absturz von mod_ssl wurden behoben, wenn ein Client-Zertifikat über die Einstellung SSLProxyMachineCertificateFile festgelegt wurde.
• Ein Speicherleck in mod_ssl wurde behoben.
• In mod_proxy_http2 wurde die Verwendung der Proxy-Parameter "ping" bei der Überprüfung der Funktionsfähigkeit eines neuen oder wiederverwendeten Verbindung zum Backend sichergestellt.
• Die Bindung von httpd an die Option "-lsystemd" wurde eingestellt, wenn mod_systemd aktiviert ist.
• In mod_proxy_http2 wird die ProxyTimeout-Einstellung beim Warten auf eingehende Daten über die Verbindungen zum Backend berücksichtigt.

Quelle: opennet.ru