{"id":111027,"date":"2023-10-22T03:10:14","date_gmt":"2023-10-22T01:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2"},"modified":"2023-10-22T03:10:14","modified_gmt":"2023-10-22T01:10:14","slug":"reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2","title":{"rendered":"Release des HTTP-Servers Apache 2.4.58 mit Behebung von DoS-Sicherheitsanf\u00e4lligkeiten in HTTP\/2","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung des HTTP-Servers Apache 2.4.58 bringt 33 \u00c4nderungen mit sich und behebt drei Sicherheitsanf\u00e4lligkeiten, von denen zwei mit der M\u00f6glichkeit von DoS-Angriffen auf Systeme, die das HTTP\/2-Protokoll verwenden, verbunden sind. <\/p>\n
\n
CVE-2023-45802 \u2014 Es entstehen Bedingungen f\u00fcr den Speicher\u00fcberlauf durch versp\u00e4tete Speicherfreigabe nach einem HTTP\/2-Stream-Reset mit dem RST-Flag. Da der Speicher nicht sofort nach der Verarbeitung des RST-Flags freigegeben wird, sondern erst nach dem Schlie\u00dfen der Verbindung, kann ein Angreifer den Speicherverbrauch erheblich erh\u00f6hen, indem er neue Anfragen sendet und diese mit einem RST-Paket zur\u00fccksetzt, ohne die Verbindung zu schlie\u00dfen.\n
CVE-2023-43622 \u2014 Unendliche Blockierung der Verarbeitung von HTTP\/2-Verbindungen, wenn diese mit einer anf\u00e4nglichen Gr\u00f6\u00dfe des Gleitfensters von 0 ge\u00f6ffnet wurden. Diese Schwachstelle kann f\u00fcr einen Denial-of-Service-Angriff durch Ersch\u00f6pfung des Limits der maximalen Anzahl an offenen Verbindungen genutzt werden.\n
CVE-2023-31122 \u2014 Eine Schwachstelle in mod_macro, die zu einem Datenlesefehler aus dem nicht zugewiesenen Speicherbereich f\u00fchrt. <\/ul>\n
Zu den nicht sicherheitsrelevanten \u00c4nderungen: <\/p>\n
\n
In mod_http2 wurde die Unterst\u00fctzung f\u00fcr die Verwendung des WebSocket-Protokolls \u00fcber einen Stream in der HTTP\/2-Verbindung (RFC 8441) hinzugef\u00fcgt. Um WebSocket \u00fcber HTTP\/2 zu aktivieren, wurde die Direktive 'H2WebSockets on|off' vorgeschlagen.\n
In mod_http2 wurde die Direktive 'H2EarlyHint name value' zur Hinzuf\u00fcgung von Headern zur Antwort '103 Early Hints' hinzugef\u00fcgt.\n
Im mod_http2 wurde die Direktive 'H2ProxyRequests on|off' hinzugef\u00fcgt, um die Verarbeitung von Anfragen \u00fcber das HTTP\/2-Protokoll in der Proxy-Konfiguration zu steuern.\n
Im mod_http2 wurde die Direktive 'H2MaxDataFrameLen n' hinzugef\u00fcgt, um die maximale Gr\u00f6\u00dfe des Antwortk\u00f6rpers in Bytes zu begrenzen, die in einem DATA-Frame in HTTP\/2 \u00fcbertragen wird. Standardm\u00e4\u00dfig ist die Grenze auf 16 KB gesetzt.\n
Die Datei mime.types wurde aktualisiert. Die Erweiterung '.js' ist jetzt dem Typ 'text\/javascript' anstelle von 'application\/javascript' zugeordnet, und die Erweiterungen '.mjs' (mit dem Typ 'text\/javascript') und '.opus' ('audio\/ogg') wurden hinzugef\u00fcgt. Auch MIME-Typen und Erweiterungen, die in WebAssembly verwendet werden, wurden hinzugef\u00fcgt.\n
Das Modul mod_tls (eine Alternative zu mod_ssl in Rust) wurde auf die Verwendung der Bibliothek rustls-ffi 0.9.2+ umgestellt.\n
Im Modul mod_md wurde die Direktive 'MDMatchNames all|servernames' hinzugef\u00fcgt, um die Zuordnung von MDomains zu den Inhalten von VirtualHosts zu steuern.\n
Im Modul mod_md wurde die Direktive 'MDChallengeDns01Version' hinzugef\u00fcgt, um die Version des ACME-Protokolls auszuw\u00e4hlen, die bei der Verifizierung \u00fcber DNS verwendet wird.\n
Im mod_md wird die Verwendung der Direktive MDChallengeDns01 f\u00fcr einzelne Eintr\u00e4ge erlaubt. Dom\u00e4nen<\/a>.\n