Apache http-server 2.4.41 väljaanne koos haavatavuste kõrvaldamisega.

Avaldatud Apache HTTP Serveri versiooni 2.4.41 väljaanne (versioon 2.4.40 vahele jäeti), mis tutvustab 23 muudatust ja kõrvaldatud 6 haavatavust:

• CVE-2019-10081 — probleem mod_http2-s, mis võib põhjustada mälu kahjustamist, kui push-päringud saadetakse väga varases etapis. Kui kasutatakse seadet „H2PushResource”, võib tekkida mäluaadresside ümberkirjutamine päringute töötlemise puule, kuid probleem on piiratud süsteemi kokku varisemisega, kuna kirjutatavad andmed ei põhine kliendilt saadud teabel;
• CVE-2019-9517 — hiljuti teada saadud teatest DoS-haavatavusest HTTP/2 rakendustes.
  Ründaja võib ammendada protsessile saadaval oleva mälumahtu ja tekitada suure koormuse CPU-le, avades HTTP/2 libiseva akna, et server saaks andmeid piiranguteta saata, kuid hoides TCP akna suletuna, mistõttu ei saa andmeid tegelikult sokkel kirjutada;
• CVE-2019-10098 — probleem mod_rewrite'is, mis võimaldab serveril edastada päringud teistele ressurssidele (open redirect). Teatud mod_rewrite'i seaded võivad viia kasutaja suunamisele teisele lingile, mis on kodeeritud reavahe sümboliga, mis asub olemasolevas ümbersuunamises kasutatud parameetris. Probleemi blokeerimiseks RegexDefaultOptions'is saab kasutada lippu PCRE_DOTALL, mis on nüüdseks vaikimisi seadistatud;
• CVE-2019-10092 — võimalus teha ristsaidite skriptimist mod_proxy'i poolt genereeritavates vealehtedes. Nendel lehtedel asendatakse lingis oleva URL-i väärtus, mille kaudu ründaja võib sümbolite põgenemise kaudu lisada suvalist HTML-koodi;
• CVE-2019-10097 — mälupinu ülevool ja NULL-punktori dereferentseerimine mod_remoteip'is, mida kuritarvitatakse PROXY protokolli päise manipuleerimise kaudu. Rünnakut saab sooritada ainult seadmest, mis on määratud proxy-serveri seadistustes, mitte kliendi päringu kaudu;
• CVE-2019-10082 — haavatavus mod_http2'is, mis võimaldab ühenduse lõpetamise hetkel algatada sisu lugemise juba vabastatud mälu piirkonnast (read-after-free).

Kõige märgatavamad muudatused, mis ei ole seotud turvalisuse tõstmisega:

• Mod_proxy_balanceris on tugevdatud XSS/XSRF rünnakute kaitset usaldusväärsete sõlmede poolt.
• Mod_sessionisse on lisatud seadistus SessionExpiryUpdateInterval seansi/ küpsise kehtivusaja uuendamise intervalli määramiseks.
• Tõrke lehtede puhastamine, et välistada teabe kuvamine sellistes lehtedes päringutest.
• Mod_http2s on tagatud parameetri 'LimitRequestFieldSize' arvestamine, mis varem kehtis ainult HTTP/1.1 päiste kontrollimise jaoks.
• Mod_proxy_hchecki seadistamine on tagatud selle kasutamisel BalancerMemberis.
• Mod_davis mälu tarbimist on vähendatud suure kollektsiooni PROPFIND käskluse kasutamisel.
• Mod_proxy ja mod_ssl lahendab sertifikaadi ja SSL seadistuste määramise probleeme Proxy ploki sees.
• Mod_proxy lubab SSLProxyCheckPeer* seadistuste rakendamist kõigi vahetuste moodulite jaoks.
• Mooduli võimalusi on laiendatud; Mod_md, mille on arendanud Let's Encrypt projekt automaatsete sertifikaatide hankimiseks ja hooldamiseks ACME (Automatic Certificate Management Environment) protokolli kasutamisega.
  • Teise versiooni protokoll ACMEv2, mis kehtib nüüd vaikimisi ja kasutab tühjad POST päringud GET asemel.
  • Lisatud tugi TLS-ALPN-01 (RFC 7301, rakenduskihti protokolli läbirääkimine) alusel kontrollimiseks, mida kasutatakse HTTP/2-s.
  • Peatatud on toetuse pakkumine meetodile 'tls-sni-01' (põhjusel haavatavusest).
  • Lisatud käsud 'dns-01' meetodi seadistamiseks ja katkestamiseks.
  • Lisatud tugi maskid sertifikaatides, kui DNS-alusel kontrollimine ('dns-01') on lubatud.
  • Töötaja 'md-status' ja leht sertifikaadi oleku kontrollimiseks "https://domain/.httpd/certificate-status".
  • Lisatud direktiivid 'MDCertificateFile' ja 'MDCertificateKeyFile' domeeni seadete seadistamiseks staatiliste failide kaudu (ilma automaatse uuendamise toeta).
  • Lisatud direktiiv 'MDMessageCmd' väliste käskude kutsumiseks sündmuste 'renewed', 'expiring' või 'errored' korral.
  • Lisatud direktiiv 'MDWarnWindow' sertifikaadi kehtivuse lõppemise hoiatussõnumi seadmiseks;

Allikas: opennet.ru