Die Veröffentlichung des HTTP-Servers Apache 2.4.43 (die Version 2.4.42 wurde übersprungen) bringt und behebt :
- CVE-2020-1927: Eine Sicherheitsanfälligkeit in mod_rewrite, die es ermöglicht, den Server für das Umleiten von Anfragen auf andere Ressourcen (open redirect) zu nutzen. Einige Konfigurationen von mod_rewrite können dazu führen, dass der Benutzer auf einen anderen Link weitergeleitet wird, der innerhalb eines Parameters, der in einem bestehenden Redirect verwendet wird, mit einem Zeilenumbruch codiert ist.
- CVE-2020-1934: Eine Sicherheitsanfälligkeit in mod_proxy_ftp. Die Verwendung nicht initialisierter Werte kann beim Proxysieren von Anfragen an einen von einem Angreifer kontrollierten FTP-Server zu einem Speicherleck führen.
- Speicherleck in mod_ssl, das bei der Verarbeitung von OCSP-Anfragen auftritt.
Die bemerkenswertesten Änderungen, die nicht sicherheitsrelevant sind:
- Ein neues Modul wurde hinzugefügt , das die Integration mit dem Systemmanager systemd ermöglicht. Dieses Modul erlaubt es, httpd in Diensten mit dem Typ „Type=notify“ zu verwenden.
- apxs hat Unterstützung für Cross-Compiling erhalten.
- Die Funktionalitäten des mod_md-Moduls, das von Let’s Encrypt zur Automatisierung der Beantragung und Verwaltung von Zertifikaten über das ACME-Protokoll (Automatic Certificate Management Environment) entwickelt wurde, wurden erweitert:
- Die Direktive MDContactEmail wurde hinzugefügt, über die Sie eine Kontakt-E-Mail angeben können, die nicht mit den Daten aus der Direktive ServerAdmin verknüpft ist.
- Für alle virtuellen Hosts wird die Unterstützung des Protokolls, das bei der Aushandlung des sicheren Kommunikationskanals verwendet wird («tls-alpn-01»), überprüft.
- Die Verwendung von mod_md-Direktiven in - und -Blöcken ist jetzt erlaubt.
- Frühere Einstellungen werden ersetzt, wenn MDCAChallenges erneut verwendet werden.
- Es wurde die Möglichkeit hinzugefügt, die URL für das CTLog-Monitoring zu konfigurieren.
- Für bestimmte Befehle in der Direktive MDMessageCmd wird beim Aktivieren eines neuen Zertifikats nach dem Neustart des Servers der Parameter «installed» aufgerufen (z. B. kann dies zum Kopieren oder Umwandeln des neuen Zertifikats für andere Anwendungen verwendet werden).
- mod_proxy_hcheck unterstützt jetzt die Maskierung %{Content-Type} in den Überprüfungsausdrücken.
- In mod_usertrack wurden die Modi CookieSameSite, CookieHTTPOnly und CookieSecure hinzugefügt, um die Verarbeitung von Usertrack-Cookies anzupassen.
- In mod_proxy_ajp wurde für Proxy-Handler der Parameter «secret» implementiert, um das veraltete Authentifizierungsprotokoll AJP13 zu unterstützen.
- Ein Konfigurationssatz für OpenWRT wurde hinzugefügt.
- In mod_ssl wurde die Unterstützung für die Verwendung privater Schlüssel und Zertifikate aus OpenSSL ENGINE durch die Angabe einer PKCS#11-URI in SSLCertificateFile/KeyFile hinzugefügt.
- Die Tests wurden mit dem Continuous Integration-System Travis CI implementiert.
- Die Analyse der Transfer-Encoding-Header wurde verschärft.
- In mod_ssl wurde die TLS-Protokollhandshakes an virtuelle Hosts gebunden (unterstützt bei der Kompilierung mit OpenSSL-1.1.1+).
- Durch die Anwendung von Hashing für Befehltabellen wurde der Neustart im 'graceful'-Modus (ohne Unterbrechung laufender Anfragehandler) beschleunigt.
- In mod_lua wurden die Tabellen r:headers_in_table, r:headers_out_table, r:err_headers_out_table, r:notes_table und r:subprocess_env_table hinzugefügt, die im Nur-Lese-Modus verfügbar sind. Die Zuweisung des Werts 'nil' zu Tabellen ist erlaubt.
- In mod_authn_socache wurde das Limit für die Größe der zwischenspeicherbaren Zeichenfolge von 100 auf 256 erhöht.
Quelle: opennet.ru
