Välja on antud http-serveri Apache 2.4.58 versioon, mis kõrvaldab HTTP/2 DoS haavatavused

Avalikustatud on HTTP-serveri Apache 2.4.58 uus versioon, mis sisaldab 33 muudatust ja lahendab kolm haavatavust, millest kaks on seotud DoS-rünnaku võimalusega süsteemides, mis kasutavad protokolli HTTP/2.

• CVE-2023-45802 — tingimuste loomine vabade mälukohtade ammendamiseks HTTP/2 voolu RST-flaagi paketi pärast viibimise vabastamise tõttu. Kuna mälu vabastatakse mitte kohe pärast RST-flaagi töötlemist, vaid alles pärast ühenduse sulgemist, saab ründaja oluliselt suurendada mälutarbimist, saates uusi päringuid ja lähtestades need RST-paketiga, kuid samas mitte sulgedes ühendust.
• CVE-2023-43622 — lõputu HTTP/2 ühenduse töötlemise blokeerimine, kui see avatakse 0 algse ujuva akna suurusega. Haavatavust võib kasutada teenusekatkestuskogumi kaudu, et ammendada avatud ühenduste maksimaalse arvu piirang.
• CVE-2023-31122 — haavatavus mod_macro-s, mis võimaldab andmete lugemist väljapoole eraldatud puhvrit.

Mitmete mitteohutuse muudatuste seas:

• mod_http2 toetab WebSocketi protokolli kasutamist HTTP/2 voos (RFC 8441). WebSocketi lubamiseks HTTP/2 peal on ette nähtud direktiiv ‘H2WebSockets on|off’.
• mod_http2-sse on lisatud direktiiv ‘H2EarlyHint name value’ pealkirjade lisamiseks vastuseks «103 Early Hints».
• mod_http2-sse on lisatud direktiiv ‘H2ProxyRequests on|off’ HTTP/2 päringute töötlemise lubamise haldamiseks proksi konfiguratsioonis.
• mod_http2-sse on lisatud direktiiv ‘H2MaxDataFrameLen n’ vastuse maksimaalse suuruse piiramiseks baitides, mis edastatakse ühes DATA-frametrükis HTTP/2-s. Vaikimisi on määratud piiriks 16KB.
• fail mime.types on uuendatud, kus laiend ‘.js’ on seotud tüübi ‘text/javascript’ asemel ‘application/javascript’ ning lisatud on laiendid: ‘.mjs’ (tüübiga ‘text/javascript’) ja ‘.opus’ (‘audio/ogg’). Lisatud on MIME-tüübid ja laiendid, mida kasutatakse WebAssembly-s.
• mod_tls moodul (mod_ssl-i alternatiiv Rust-i keeles) on ülemineku teinud rustls-ffi 0.9.2+ teegile.
• mod_md moodulisse on lisatud direktiiv ‘MDMatchNames all|servernames’ MDomains'i ja VirtualHosts'i sisu vastavuse haldamiseks.
• Mod_md moodulisse on lisatud direktiiv ‘MDChallengeDns01Version’, et valida ACME protokolli versioon, mida kasutatakse DNS-i kaudu kinnitamisel.
• Mod_md-s on lubatud kasutada direktiivi MDChallengeDns01 eraldi. of domains.
• Mod_dav moodulisse on lisatud direktiiv ‘DavBasePath’, et seadistada WebDav-i hoidla juurpunkte.
• Mod_alias moodulisse on lisatud direktiiv ‘AliasPreservePath’, et kasutada Alias väärtuse täispikkust Location plokis.
• Mod_alias moodulisse on lisatud direktiiv ‘RedirectRelative’, mis lubab ümber suunamist, kasutades suhtelisi teid.
• Direktiivi ErrorLogFormat on lisatud formaadi specifikaatorid %{z} ja %{strftime-format}.
• Mod_deflate moodulisse on lisatud direktiiv ‘DeflateAlterETag’, et hallata ETag muutust kokkusurumise kasutamisel.
• Funktsiooni send_brigade_nonblocking() jõudluse optimeerimine on läbi viidud.
• Mod_status tagab ‘BusyWorkers’ ja ‘IdleWorkers’ võtmete dubleerimise eemaldamise ning lisab uue loenduri ‘GracefulWorkers’.

Allikas: opennet.ru