Ο διακομιστής Apache HTTP 2.4.52 κυκλοφόρησε, εισάγοντας 25 αλλαγές και εξαλείφοντας 2 τρωτά σημεία:
- Το CVE-2021-44790 είναι μια υπερχείλιση buffer στο mod_lua που εμφανίζεται κατά την ανάλυση αιτημάτων πολλαπλών τμημάτων. Η ευπάθεια επηρεάζει διαμορφώσεις στις οποίες τα σενάρια Lua καλούν τη συνάρτηση r:parsebody() για να αναλύσει το σώμα αιτήματος, επιτρέποντας σε έναν εισβολέα να προκαλέσει υπερχείλιση buffer στέλνοντας ένα ειδικά διαμορφωμένο αίτημα. Δεν έχουν εντοπιστεί ακόμη στοιχεία εκμετάλλευσης, αλλά το πρόβλημα θα μπορούσε ενδεχομένως να οδηγήσει στην εκτέλεση του κώδικά του στον διακομιστή.
- CVE-2021-44224 - Ευπάθεια SSRF (Server Side Request Forgery) στο mod_proxy, που επιτρέπει, σε διαμορφώσεις με τη ρύθμιση "ProxyRequests on", μέσω αιτήματος για ένα ειδικά σχεδιασμένο URI, να επιτύχει μια ανακατεύθυνση αιτήματος σε άλλο πρόγραμμα χειρισμού στο ίδιο διακομιστή που δέχεται συνδέσεις μέσω ενός Unix Domain Socket. Το ζήτημα μπορεί επίσης να χρησιμοποιηθεί για την πρόκληση σφάλματος δημιουργώντας τις προϋποθέσεις για μια μηδενική παραπομπή δείκτη. Το ζήτημα επηρεάζει τις εκδόσεις του Apache httpd ξεκινώντας από την έκδοση 2.4.7.
Οι πιο αξιοσημείωτες αλλαγές που δεν αφορούν την ασφάλεια είναι:
- Προστέθηκε υποστήριξη για δημιουργία με τη βιβλιοθήκη OpenSSL 3 στο mod_ssl.
- Βελτιωμένη ανίχνευση βιβλιοθήκης OpenSSL σε σενάρια αυτόματης ρύθμισης.
- Στο mod_proxy, για πρωτόκολλα σήραγγας, είναι δυνατό να απενεργοποιήσετε την ανακατεύθυνση μισόκλεισης συνδέσεων TCP ορίζοντας την παράμετρο «SetEnv proxy-nohalfclose».
- Προστέθηκαν πρόσθετοι έλεγχοι ότι τα URI που δεν προορίζονται για διακομιστή μεσολάβησης περιέχουν το σχήμα http/https και αυτά που προορίζονται για διακομιστή μεσολάβησης περιέχουν το όνομα κεντρικού υπολογιστή.
- Τα mod_proxy_connect και mod_proxy δεν επιτρέπουν την αλλαγή του κωδικού κατάστασης μετά την αποστολή του στον πελάτη.
- Όταν στέλνετε ενδιάμεσες απαντήσεις μετά τη λήψη αιτημάτων με την κεφαλίδα "Αναμένεται: 100-Συνέχεια", βεβαιωθείτε ότι το αποτέλεσμα υποδεικνύει την κατάσταση "100 Συνέχεια" και όχι την τρέχουσα κατάσταση του αιτήματος.
- Το mod_dav προσθέτει υποστήριξη για επεκτάσεις CalDAV, οι οποίες απαιτούν να λαμβάνονται υπόψη τόσο τα στοιχεία εγγράφου όσο και τα στοιχεία ιδιοτήτων κατά τη δημιουργία μιας ιδιότητας. Προστέθηκαν νέες συναρτήσεις dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() και dav_find_attr(), οι οποίες μπορούν να κληθούν από άλλες λειτουργικές μονάδες.
- Στο mpm_event, το πρόβλημα με τη διακοπή των θυγατρικών διεργασιών σε αδράνεια μετά την επίλυση μιας αύξησης του φόρτου του διακομιστή.
- Το Mod_http2 έχει διορθώσει αλλαγές παλινδρόμησης που προκάλεσαν εσφαλμένη συμπεριφορά κατά τον χειρισμό των περιορισμών MaxRequestsPerChild και MaxConnectionsPerChild.
- Οι δυνατότητες της ενότητας mod_md, που χρησιμοποιείται για την αυτοματοποίηση της λήψης και της συντήρησης πιστοποιητικών χρησιμοποιώντας το πρωτόκολλο ACME (Αυτόματο Περιβάλλον Διαχείρισης Πιστοποιητικών), έχουν επεκταθεί:
- Προστέθηκε υποστήριξη για τον μηχανισμό ACME External Account Binding (EAB), που ενεργοποιήθηκε χρησιμοποιώντας την οδηγία MDExternalAccountBinding. Οι τιμές για το EAB μπορούν να διαμορφωθούν από ένα εξωτερικό αρχείο JSON, αποφεύγοντας την έκθεση των παραμέτρων ελέγχου ταυτότητας στο αρχείο διαμόρφωσης του κύριου διακομιστή.
- Η οδηγία "MDCertificateAuthority" διασφαλίζει ότι η παράμετρος URL περιέχει http/https ή ένα από τα προκαθορισμένα ονόματα ("LetsEncrypt", "LetsEncrypt-Test", "Buypass" και "Buypass-Test").
- Επιτρέπεται ο καθορισμός της οδηγίας MDContactEmail μέσα στην ενότητα .
- Αρκετά σφάλματα έχουν διορθωθεί, συμπεριλαμβανομένης μιας διαρροής μνήμης που παρουσιάζεται όταν αποτυγχάνει η φόρτωση ενός ιδιωτικού κλειδιού.
Πηγή: opennet.ru