{"id":111027,"date":"2023-10-22T03:10:14","date_gmt":"2023-10-22T01:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2"},"modified":"2023-10-22T03:10:14","modified_gmt":"2023-10-22T01:10:14","slug":"reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2","title":{"rendered":"Se lanz\u00f3 la versi\u00f3n 2.4.58 del servidor http Apache con correcciones de vulnerabilidades DoS en HTTP\/2.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha publicado la versi\u00f3n 2.4.58 del servidor HTTP Apache, que incluye 33 cambios y corrige tres vulnerabilidades, dos de las cuales est\u00e1n relacionadas con la posibilidad de realizar un ataque DoS en sistemas que utilizan el protocolo HTTP\/2. <\/p>\n
\n
CVE-2023-45802 \u2014 creaci\u00f3n de condiciones para el agotamiento de la memoria libre debido a la liberaci\u00f3n de memoria retrasada despu\u00e9s de que un paquete con la bandera RST restablece la conexi\u00f3n HTTP\/2. Dado que la memoria no se libera inmediatamente despu\u00e9s de procesar la bandera RST, sino solo despu\u00e9s de cerrar la conexi\u00f3n, un atacante puede incrementar significativamente el consumo de memoria enviando nuevas solicitudes y restableci\u00e9ndolas con un paquete RST, sin cerrar la conexi\u00f3n.\n
CVE-2023-43622 \u2014 bloqueo infinito en el procesamiento de conexiones HTTP\/2 si se abren con un tama\u00f1o inicial de ventana deslizante establecido en 0. La vulnerabilidad puede utilizarse para llevar a cabo ataques de denegaci\u00f3n de servicio al agotar el l\u00edmite m\u00e1ximo de conexiones abiertas.\n
CVE-2023-31122 \u2014 vulnerabilidad en mod_macro que provoca la lectura de datos desde \u00e1reas fuera del b\u00fafer asignado. <\/ul>\n
Entre los cambios no relacionados con la seguridad: <\/p>\n
\n
En mod_http2 se ha a\u00f1adido soporte para el uso de WebSocket sobre el flujo en la conexi\u00f3n HTTP\/2 (RFC 8441). Para habilitar WebSocket sobre HTTP\/2, se ha sugerido la directiva 'H2WebSockets on|off'.\n
En mod_http2 se ha a\u00f1adido la directiva 'H2EarlyHint name value' para agregar encabezados en la respuesta '103 Early Hints'.\n
En mod_http2 se ha a\u00f1adido la directiva 'H2ProxyRequests on|off' para controlar la habilitaci\u00f3n del procesamiento de solicitudes mediante el protocolo HTTP\/2 en la configuraci\u00f3n de proxy.\n
En mod_http2 se ha a\u00f1adido la directiva 'H2MaxDataFrameLen n' para limitar el tama\u00f1o m\u00e1ximo del cuerpo de la respuesta en bytes, transmitido en un \u00fanico marco DATA en HTTP\/2. Por defecto, se establece un l\u00edmite de 16KB.\n
Se ha actualizado el archivo mime.types, en el cual la extensi\u00f3n '.js' se ha vinculado al tipo 'text\/javascript' en lugar de 'application\/javascript' y se han a\u00f1adido las extensiones: '.mjs' (con tipo 'text\/javascript') y '.opus' ('audio\/ogg'). Se han a\u00f1adido tipos MIME y extensiones utilizadas en WebAssembly.\n
El m\u00f3dulo mod_tls (alternativa a mod_ssl en Rust) se ha migrado a utilizar la biblioteca rustls-ffi 0.9.2+.\n
En el m\u00f3dulo mod_md se ha a\u00f1adido la directiva 'MDMatchNames all|servernames' para gestionar la asignaci\u00f3n de MDomains con el contenido de VirtualHosts.\n
En el m\u00f3dulo mod_md se ha a\u00f1adido la directiva 'MDChallengeDns01Version' para seleccionar la versi\u00f3n del protocolo ACME utilizada en la verificaci\u00f3n a trav\u00e9s de DNS.\n
En mod_md se permite el uso de la directiva MDChallengeDns01 para individuales. dominios<\/a>.\n