Release des HTTP-Servers Apache 2.4.58 mit Behebung von DoS-Sicherheitsanfälligkeiten in HTTP/2

Die Veröffentlichung des HTTP-Servers Apache 2.4.58 bringt 33 Änderungen mit sich und behebt drei Sicherheitsanfälligkeiten, von denen zwei mit der Möglichkeit von DoS-Angriffen auf Systeme, die das HTTP/2-Protokoll verwenden, verbunden sind.

• CVE-2023-45802 — möglicherweise lässt diese Schwachstelle zur Erschöpfung des freien Speichers zu, da der Speicher erst nach dem Schließen der Verbindung freigegeben wird, nachdem ein RST-Flag für den HTTP/2-Stream gesendet wurde. Da der Speicher nicht sofort nach der Verarbeitung des RST-Flags freigegeben wird, kann ein Angreifer den Speicherverbrauch erheblich erhöhen, indem er neue Anfragen sendet und diese mit RST-Paketen zurücksetzt, ohne die Verbindung zu schließen.
• CVE-2023-43622 — eine endlose Blockade bei der Bearbeitung von HTTP/2-Verbindungen, die mit einer anfänglichen Fenstergröße von 0 geöffnet wurden. Diese Schwachstelle kann ausgenutzt werden, um einen Dienst zu verweigern, indem das Limit für die maximalen gleichzeitigen Verbindungen erschöpft wird.
• CVE-2023-31122 — eine Schwachstelle in mod_macro, die dazu führt, dass Daten aus nicht zugewiesenem Speicher gelesen werden.

Zu den nicht sicherheitsrelevanten Änderungen:

• Im mod_http2 wurde die Unterstützung für die Verwendung des WebSocket-Protokolls über den Stream in einer HTTP/2-Verbindung (RFC 8441) hinzugefügt. Um WebSocket über HTTP/2 zu aktivieren, wurde die Direktive ‘H2WebSockets on|off’ vorgeschlagen.
• Im mod_http2 wurde die Direktive ‘H2EarlyHint name value’ hinzugefügt, um Header in der Antwort ‚103 Early Hints‘ einzufügen.
• Im mod_http2 wurde die Direktive ‘H2ProxyRequests on|off’ eingeführt, um die Aktivierung der Verarbeitung von Anfragen über das HTTP/2-Protokoll in der Proxy-Konfiguration zu steuern.
• Im mod_http2 wurde die Direktive ‘H2MaxDataFrameLen n’ hinzugefügt, um die maximale Größe des Antwortkörpers in Bytes, die in einem DATA-Frame in HTTP/2 übertragen wird, zu begrenzen. Der Standardwert beträgt 16KB.
• Die Datei mime.types wurde aktualisiert, in der die Erweiterung ‚.js‘ dem Typ ‚text/javascript‘ anstelle von ‚application/javascript‘ zugeordnet wurde. Außerdem wurden die Erweiterungen ‚.mjs‘ (mit dem Typ ‚text/javascript‘) und ‚.opus‘ (‚audio/ogg‘) hinzugefügt. MIME-Typen und Erweiterungen, die in WebAssembly verwendet werden, wurden ebenfalls ergänzt.
• Das Modul mod_tls (eine Alternative zu mod_ssl in Rust) wurde auf die Verwendung der Bibliothek rustls-ffi 0.9.2+ umgestellt.
• Im Modul mod_md wurde die Direktive ‚MDMatchNames all|servernames‘ hinzugefügt, um die Zuordnung von MDomains zu den Inhalten der VirtualHosts zu steuern.
• Im mod_md wurde die Direktive 'MDChallengeDns01Version' hinzugefügt, um die Version des ACME-Protokolls auszuwählen, die für die DNS-Überprüfung verwendet wird.
• Im mod_md wird die Verwendung der Direktive MDChallengeDns01 für einzelne Einträge erlaubt. Domänen.
• Im mod_dav wurde die Direktive 'DavBasePath' hinzugefügt, um den Pfad zum Root-Verzeichnis von WebDav zu konfigurieren.
• Im mod_alias wurde die Direktive 'AliasPreservePath' hinzugefügt, um den Alias-Wert im Location-Block als vollständigen Pfad zu nutzen.
• Im mod_alias wurde die Direktive 'RedirectRelative' eingeführt, die die Umleitung mit relativen Pfaden ermöglicht.
• In die Direktive ErrorLogFormat wurden die Format-Spezifizierer %{z} und %{strftime-format} aufgenommen.
• Im mod_deflate wurde die Direktive 'DeflateAlterETag' hinzugefügt, um die Änderung des ETag bei Verwendung von Kompression zu steuern.
• Die Performance der Funktion send_brigade_nonblocking() wurde optimiert.
• Im mod_status wurde die Duplizierung der Schlüssel 'BusyWorkers' und 'IdleWorkers' entfernt, und es wurde ein neuer Zähler 'GracefulWorkers' hinzugefügt.

Quelle: opennet.ru