Apache 2.4.52 http-serveri väljaanne, mis kõrvaldab mod_lua puhverülevuse

Avaldatud on HTTP-serveri Apache 2.4.52 versioon, mis sisaldab 25 muudatust ja kahe haavatavuse parandust.

• CVE-2021-44790 — puhveri ülevool mod_lua-s, mis ilmneb mitme osaga (multipart) päringute töötlemisel. Haavatavus puudutab konfiguratsioone, kus Lua skriptid kutsuvad välja funktsiooni r:parsebody() päringu keha analüüsimiseks ja võimaldavad ründajal saavutada puhveri ülevoolu spetsiaalselt koostatud päringu saatmise kaudu. Juhul ei ole veel avastatud eksploite, kuid probleem võib potentsiaalselt viia oma koodi täitmiseni. serveris.
• CVE-2021-44224 — SSRF-haavatavus (Server Side Request Forgery) mod_proxy-s, mis võimaldab konfiguratsioonides, kus on seadistus „ProxyRequests on”, saavutada päringu suunamine teisele töötlejale samas serveris, mis aktsepteeribühendusi Unix Domain Socket kaudu, läbi spetsiaalselt koostatud URI päringu. Probleemi saab kasutada ka krahhi põhjustamiseks, luues tingimusi nullnäitaja de-referentimiseks. Probleem puudutab Apache httpd versioone alates 2.4.7.

Kõige märgatavamad mitteohutusega seotud muudatused:

• Mod_ssl-s on lisatud tugi OpenSSL 3 teegiga koostamiseks.
• Parendatud OpenSSL teegi määramine autoconf skriptides.
• Mod_proxy-s on tunneli protokollide jaoks lisatud võimalus keelata poolhaardunud (half-close) TCP ühenduste suunamine, määrates parameetri „SetEnv proxy-nohalfclose”.
• Lisatud täiendavad kontrollid, et URI-d, mis ei ole mõeldud proksiks, sisaldavad skeemi http/https, ja need, mis on mõeldud proksiks, sisaldavad hostinime.
• Mod_proxy_connect ja mod_proxy-s on keelatud olekukoodi muutmine pärast selle kliendile saatmist.
• Olekute määramisel vahepealsete vastuste saatmisel pärast päringute saamist koos päisega „Expect: 100-Continue” on tagatud, et vastuses on staatuseks „100 Continue”, mitte päringu praegune olek.
• Mod_dav-s on lisatud tugi CalDAV laiendustele, kus omaduste genereerimisel tuleb arvesse võtta nii dokumentide elemente kui ka omaduste elemente. Uued funktsioonid dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() ja dav_find_attr() on lisatud ja neid saab kutsuda teistest moodulitest.
• Mpm_event-s on lahendatud probleem jõudeolevate alamprotsesside peatamisega serveri koormuse tõusu korral.
• Mod_http2-s on kõrvaldatud regressiivsed muutused, mis põhjustavad vale käitumise MaxRequestsPerChild ja MaxConnectionsPerChild piirangute töötlemisel.
• mod_md mooduli võimalusi on laiendatud, et automatiseerida sertifikaatide saamist ja haldamist ACME (Automatic Certificate Management Environment) protokolli abil:
  • Lisatud tugi ACME External Account Binding (EAB) mehhanismile, mida saab aktiveerida direktiivi MDExternalAccountBinding abil. EAB-i väärtused on võimalik seadistada välisest JSON-formaadis failist, mis võimaldab mitte paljastada autentimisteabe põhifailis. serveri konfiguratsiooni.
  • Direktiivis 'MDCertificateAuthority' on tagatud, et URL-i parameetrile on määratud http/https või üks eeldefineeritud nimesid ('LetsEncrypt', 'LetsEncrypt-Test', 'Buypass' ja 'Buypass-Test').
  • Direktiivi MDContactEmail määramine on lubatud sektsioonis .
  • Mitmed vead on parandatud, sealhulgas mälu leke, mis tekkis privaatvõtme laadimise ebaõnnestumiste korral.

Allikas: opennet.ru