έκδοση του διακομιστή Apache HTTP 2.4.46 (οι εκδόσεις 2.4.44 και 2.4.45 παραβλέφθηκαν), ο οποίος εισήγαγε και εξαλείφθηκαν :
- — μια υπερχείλιση buffer στη μονάδα mod_proxy_uwsgi, η οποία μπορεί να οδηγήσει σε διαρροή πληροφοριών ή εκτέλεση κώδικα στον διακομιστή κατά την αποστολή ενός ειδικά διαμορφωμένου αιτήματος. Η ευπάθεια αξιοποιείται με την αποστολή μιας πολύ μεγάλης κεφαλίδας HTTP. Για προστασία, έχει προστεθεί αποκλεισμός κεφαλίδων μεγαλύτερες από 16K (ένα όριο που ορίζεται στις προδιαγραφές του πρωτοκόλλου).
- — μια ευπάθεια στη λειτουργική μονάδα mod_http2 που επιτρέπει τη διακοπή λειτουργίας της διαδικασίας κατά την αποστολή αιτήματος με μια ειδικά σχεδιασμένη κεφαλίδα HTTP/2. Το πρόβλημα εκδηλώνεται όταν ο εντοπισμός σφαλμάτων ή ο εντοπισμός είναι ενεργοποιημένος στη λειτουργική μονάδα mod_http2 και αντικατοπτρίζεται στην καταστροφή του περιεχομένου της μνήμης λόγω μιας συνθήκης κούρσας κατά την αποθήκευση πληροφοριών στο αρχείο καταγραφής. Το πρόβλημα δεν εμφανίζεται όταν το LogLevel έχει οριστεί σε "info".
- — μια ευπάθεια στη λειτουργική μονάδα mod_http2 που επιτρέπει σε μια διεργασία να διακοπεί κατά την αποστολή ενός αιτήματος μέσω HTTP/2 με μια ειδικά διαμορφωμένη τιμή κεφαλίδας «Cache-Digest» (το σφάλμα παρουσιάζεται όταν προσπαθείτε να εκτελέσετε μια λειτουργία HTTP/2 PUSH σε έναν πόρο) . Για να αποκλείσετε την ευπάθεια, μπορείτε να χρησιμοποιήσετε τη ρύθμιση "H2Push off".
- — ευπάθεια mod_remoteip, η οποία σας επιτρέπει να πλαστογραφείτε διευθύνσεις IP κατά τη διάρκεια του διακομιστή μεσολάβησης χρησιμοποιώντας mod_remoteip και mod_rewrite. Το πρόβλημα εμφανίζεται μόνο για τις εκδόσεις 2.4.1 έως 2.4.23.
Οι πιο αξιοσημείωτες αλλαγές που δεν αφορούν την ασφάλεια είναι:
- Η υποστήριξη για πρόχειρες προδιαγραφές έχει αφαιρεθεί από το mod_http2 , η προώθηση του οποίου έχει διακοπεί.
- Άλλαξε τη συμπεριφορά της οδηγίας "LimitRequestFields" στο mod_http2 καθορίζοντας μια τιμή 0 απενεργοποιεί πλέον το όριο.
- Το mod_http2 παρέχει επεξεργασία πρωτογενών και δευτερευουσών (κύριων/δευτερεύουσες) συνδέσεις και σήμανση μεθόδων ανάλογα με τη χρήση.
- Εάν ληφθεί εσφαλμένο περιεχόμενο κεφαλίδας Τελευταία Τροποποίηση από μια δέσμη ενεργειών FCGI/CGI, αυτή η κεφαλίδα καταργείται πλέον αντί να αντικαθίσταται σε χρόνο Unix epoch.
- Η συνάρτηση ap_parse_strict_length() έχει προστεθεί στον κώδικα για την αυστηρή ανάλυση του μεγέθους περιεχομένου.
- Το ProxyFCGISetEnvIf του Mod_proxy_fcgi διασφαλίζει ότι οι μεταβλητές περιβάλλοντος καταργούνται εάν η δεδομένη έκφραση επιστρέψει False.
- Διορθώθηκε μια συνθήκη αγώνα και πιθανή κατάρρευση mod_ssl κατά τη χρήση πιστοποιητικού πελάτη που καθορίζεται μέσω της ρύθμισης SSLProxyMachineCertificateFile.
- Διορθώθηκε η διαρροή μνήμης στο mod_ssl.
- Το mod_proxy_http2 παρέχει τη χρήση της παραμέτρου διακομιστή μεσολάβησης "» κατά τον έλεγχο της λειτουργικότητας μιας νέας ή επαναχρησιμοποιημένης σύνδεσης στο backend.
- Σταμάτησε η σύνδεση του httpd με την επιλογή "-lsystemd" όταν το mod_systemd είναι ενεργοποιημένο.
- Το mod_proxy_http2 διασφαλίζει ότι η ρύθμιση ProxyTimeout λαμβάνεται υπόψη κατά την αναμονή για εισερχόμενα δεδομένα μέσω συνδέσεων στο backend.
Πηγή: opennet.ru