Freigabe des HTTP-Servers Apache 2.4.46 (die Versionen 2.4.44 und 2.4.45 wurden übersprungen), in der und behoben :
- — Pufferüberlauf im Modul mod_proxy_uwsgi, der zu einem Informationsleck oder zur Ausführung von Code auf dem Server führen kann, wenn eine speziell formatierte Anfrage gesendet wird. Die Ausnutzung der Schwachstelle erfolgt durch die Übertragung eines sehr langen HTTP-Headers. Zum Schutz wurde eine Sperrung von Headern hinzugefügt, die länger sind als 16K (Limit, das in der Protokollspezifikation festgelegt ist).
- — Schwachstelle im Modul mod_http2, die einen Prozessabsturz auslösen kann, wenn eine Anfrage mit einem speziell formatierten HTTP/2-Header gesendet wird. Das Problem tritt auf, wenn Debugging oder Tracing im Modul mod_http2 aktiviert ist und äußert sich in einer Beschädigung des Speicherinhalts aufgrund eines Rennzustands beim Speichern von Informationen im Log. Das Problem tritt nicht auf, wenn der LogLevel auf "info" gesetzt ist.
- — Schwachstelle im Modul mod_http2, die einen Prozessabsturz verursachen kann, wenn eine Anfrage mit einem speziell formatierten Wert für den Header 'Cache-Digest' über HTTP/2 gesendet wird (der Absturz tritt bei dem Versuch auf, eine HTTP/2 PUSH-Operation für die Ressource auszuführen). Zum Blockieren der Schwachstelle kann die Einstellung "H2Push off" verwendet werden.
- — Schwachstelle in mod_remoteip, die IP-Adressen-Spoofing beim Proxying unter Verwendung von mod_remoteip und mod_rewrite ermöglicht. Das Problem tritt nur in den Versionen von 2.4.1 bis 2.4.23 auf.
Die auffälligsten Änderungen, die nicht mit Sicherheit zu tun haben:
- Die Unterstützung der Entwurfsspezifikation wurde aus mod_http2 entfernt , deren Förderung eingestellt wurde.
- Das Verhalten der Direktive "LimitRequestFields" in mod_http2 wurde geändert, die Angabe des Wertes 0 schaltet nun die Begrenzung aus.
- In mod_http2 wurde die Verarbeitung von Master- und Sekundärverbindungen (master/secondary) sowie die Kennzeichnung von Methoden je nach Nutzung implementiert.
- Im Falle des Erhalts eines ungültigen Last-Modified-Headers von einem FCGI/CGI-Skript wird dieser Header jetzt entfernt, anstatt durch die Zeit der Unix-Epoche ersetzt zu werden.
- In den Code wurde die Funktion ap_parse_strict_length() zum strengen Parsen der Inhaltgröße hinzugefügt.
- In mod_proxy_fcgi wird in ProxyFCGISetEnvIf das Entfernen von Umgebungsvariablen sichergestellt, wenn der angegebene Ausdruck False zurückgibt.
- Ein Rennen und ein möglicher Absturz von mod_ssl beim Einsatz eines über die Einstellung SSLProxyMachineCertificateFile festgelegten Client-Zertifikats wurden behoben.
- Ein Memory Leak in mod_ssl wurde behoben.
- Im mod_proxy_http2 wird die Proxy-Option „“ bei der Überprüfung der Funktionalität einer neuen oder wiederverwendeten Verbindung zum Backend verwendet.
- Die Bindung von httpd an die Option „-lsystemd“ wurde eingestellt, wenn mod_systemd aktiviert ist.
- Im mod_proxy_http2 wird die ProxyTimeout-Einstellung bei der Wartezeit auf eingehende Daten über Verbindungen zum Backend berücksichtigt.
Quelle: opennet.ru
