Apache HTTP serveri 2.4.41 väljaanne, kus on kõrvaldatud turvavead

Avaldatud HTTP serveri Apache 2.4.41 väljaanne (väljaanne 2.4.40 on vahele jäetud), mis sisaldab 23 muudatust ja kõrvaldatud 6 turvavea:

• CVE-2019-10081 — probleem mod_http2-s, mis võib põhjustada mälu kahjustamist, kui push-päringute saatmise alguses. 'H2PushResource' seade kasutamisel võib tekkida mälu salvestamise piirkonna üle kirjutamine päringute töötlemise puus, kuid probleem piirdub krahhidega, kuna kirjutatavad andmed ei põhine kliendilt saadud teabel;
• CVE-2019-9517 — hiljuti teatatud DoS-turvaauku HTTP/2 teostustes. Ründaja võib ammendada processei saadaval oleva mälu ja tekitada suurenenud CPU koormuse, avades HTTP/2 libiseva akna serveri andmete edastamiseks ilma piiranguteta, kuid hoides TCP akna suletuna, mis takistab tegeliku andmete kirjutamist soketisse;
  CVE-2019-10098
• — probleem mod_rewrite'is, mis võimaldab serveri kaudu suunamisi teistele ressurssidele (avatud suunamine). Teatud mod_rewrite'i seadistused võivad viia kasutaja suunamiseni teisele lingile, mis on kodeeritud reavahetusmärgiga olemasoleva suunamisparametri sees. Probleemi blokeerimiseks võib RegexDefaultOptions'is kasutada lippu PCRE_DOTALL, mis on nüüd vaikimisi seatud; CVE-2019-10092
• — võimalus teostada veebirakenduste vahelise skriptingu (XSS) vigu mod_proxy poolt väljundatud vigade lehtedel. Nendel lehtedel sisestatakse lingisse päringust saadud URL, kus ründaja saab isoleerimise kaudu sisestada mis tahes HTML-koodi; CVE-2019-10097
• — virna ülevool ja NULL-punktori dereferentsimine mod_remoteip-s, mis on ära kasutatav PROXY protokolli päise manipuleerimisel. Rünnakut saab teha vaid seadistatud proxy-serveri poolt, mitte kliendi päringu kaudu; CVE-2019-10082
• — turvaauk mod_http2-s, mis võimaldab ühenduse lõpetamisel alustada sisu lugemist juba vabastatud mälu alalt (read-after-free). Neljas turvameede mod_proxy_balancer'i puhul, et tugevdada kaitset XSS/XSRF rünnakute eest usaldusväärsetelt sõlmedelt;

Kõige märgatavamad mitteohutusega seotud muudatused:

• mod_session-sse on lisatud seade SessionExpiryUpdateInterval, et määrata seansi/cookie kehtivuse lõppemise värskendamise aega;
• mod_session-s on lisatud seadistus SessionExpiryUpdateInterval seansi/cookie aegumise värskendamise intervalli määramiseks;
• Viidi puhastust lehtedest, kus on vigu, et välistada teabe kuvamine nende lehtede päringutest;
• mod_http2-s on arvesse võetud parameetri 'LimitRequestFieldSize' väärtust, mis varem kehtis ainult HTTP/1.1 päiste kontrollimiseks;
• Soodustatud on mod_proxy_hcheck konfiguratsiooni loomine selle kasutamisel BalancerMember-is;
• mod_dav-i mälukasutust on vähendatud, kui kasutatakse PROPFIND käsku suure kollektsiooni üle;
• mod_proxy-s ja mod_ssl-is on lahendatud probleemid sertifikaatide ja SSL-i seadete määratlemisel Proxy plokis;
• mod_proxy-s on lubatud SSLProxyCheckPeer* seadete rakendamine kõikidele proxy moodulitele;
• Mooduli funktsioone on laiendatud mod_md, mida on välja töötatud Let’s Encrypt projekti poolt sertifikaatide automaatseks hankimiseks ja haldamiseks ACME (Automaatne Sertifikaadi Halduse Keskkond) protokolli abil:
  • Protokolli teine versioon ACMEv2, mis on nüüd vaikimisi rakendatud ja kasutab tühjad POST päringud GET-i asemel.
  • Toetust on lisatud TLS-ALPN-01 laiendusele (RFC 7301, rakenduse tasandi protokolli läbirääkimine), mida kasutatakse HTTP/2-s.
  • Toetuse lõpetamine 'tls-sni-01' kontrollimise meetodile (tõttu haavatavuse).
  • Lisatud on käskude seadistamine ja kontrollimise katkestamine 'dns-01' meetodi abil.
  • Lisatud tugi maskid sertifikaatides, kui DNS (’dns-01’) põhjalik kontroll on lubatud.
  • Tehtud on 'md-status' töötleja ja sertifikaadi oleku leht 'https://domain/.httpd/certificate-status'.
  • Lisatud on direktiivid 'MDCertificateFile' ja 'MDCertificateKeyFile' domeeni seadete konfigureerimiseks staatiliste failide kaudu (ilma automaatse värskendamise toeta).
  • Lisatud on direktiiv 'MDMessageCmd' väliste käskude kutsumiseks, kui toimub sündmus 'renewed', 'expiring' või 'errored'.
  • Lisatud on direktiiv 'MDWarnWindow' sertifikaadi kehtivuse lõppemise hoiatusteate seadistamiseks;

Allikas: opennet.ru